RestSharp配置TLS1.2后回调显示仍为TLS1.1问题排查

问题原因 #

1. 回调触发时机过早：ServerCertificateValidationCallback是在TLS握手的证书验证阶段触发的，此时TLS协议版本的协商还未完全完成，ServicePoint.ProtocolVersion仍保留初始默认值（比如TLS1.1），并非最终协商后的实际版本。
2. ServicePoint缓存复用：.NET的ServicePoint会按目标域名缓存连接配置，如果该域名之前有过未指定TLS1.2的请求，缓存的ServicePoint会保留旧的协议版本设置，后续请求会直接复用缓存，导致你看到的还是TLS1.1，即使后来修改了SecurityProtocol配置。

正确的TLS版本查询方式 #

1. 请求完成后查询协议版本 #

在RestSharp请求执行完成后，通过响应的URI找到对应的ServicePoint，此时获取的是最终协商后的TLS版本：

var client = new RestClient("你的服务地址");
// 设置支持的TLS版本（可同时指定TLS1.2和TLS1.3）
ServicePointManager.SecurityProtocol = SecurityProtocolType.Tls12 | SecurityProtocolType.Tls13;
var request = new RestRequest(Method.GET);
var response = client.Execute(request);

if (response.ResponseUri != null)
{
    var servicePoint = ServicePointManager.FindServicePoint(response.ResponseUri);
    var actualTlsVersion = servicePoint.ProtocolVersion;
    // 这里的actualTlsVersion就是实际使用的TLS版本
}

2. 利用ServicePointCreated事件跟踪 #

注册ServicePointCreated事件，在ServicePoint创建后，通过绑定端点的委托延迟查询，此时协议版本已协商完成：

ServicePointManager.ServicePointCreated += (sender, e) =>
{
    e.ServicePoint.BindIPEndPointDelegate += (sp, remoteEP, retryCount) =>
    {
        var actualTlsVersion = sp.ProtocolVersion;
        // 处理实际TLS版本
        return null;
    };
};

// 后续执行RestSharp请求

3. 直接通过HttpWebResponse查询 #

如果直接操作底层的HttpWebRequest（RestSharp基于它实现），可在获取响应后查询：

var httpRequest = (HttpWebRequest)WebRequest.Create("你的服务地址");
httpRequest.ServicePoint.SecurityProtocol = SecurityProtocolType.Tls12 | SecurityProtocolType.Tls13;
using (var response = (HttpWebResponse)httpRequest.GetResponse())
{
    var actualTlsVersion = httpRequest.ServicePoint.ProtocolVersion;
}

额外注意事项 #

• .NET Framework 4.8中，若系统（如Windows 11）支持TLS1.3，建议将SecurityProtocol设置为Tls12 | Tls13，让框架自动协商服务器支持的最高版本。
• 若存在旧的ServicePoint缓存，可通过ServicePointManager.FindServicePoint(uri).CloseConnectionGroup("")清除对应域名的缓存，强制创建新的ServicePoint使用新配置。

内容的提问来源于stack exchange，提问作者Marc