DEV环境ADO.NET连接提示证书链不受信任的排查求助

IIS端检查项 #

• 应用池身份的证书信任链：DEV环境中出问题的ASP.NET应用所使用的应用池身份，是否在其本地计算机账户的受信任根证书存储中导入了自有CA的根证书？其他正常应用的应用池身份可能已配置信任，而该应用的身份（比如自定义服务账户）未添加信任。
• .NET Framework 4.7.2加密策略：检查DEV服务器上C:\Windows\Microsoft.NET\Framework64\v4.0.30319\Config\machine.config中的<system.net>节点，是否存在强制启用SSL验证的配置项，比如全局加密规则，导致覆盖了连接字符串的Encrypt=false设置。
• IIS站点SSL绑定影响：DEV环境的IIS站点是否启用了要求SSL的设置？部分场景下，站点的SSL强制配置可能连带影响应用内的数据库连接请求，导致ADO.NET连接意外触发SSL验证。
• 应用程序域配置隔离：检查该应用是否在IIS中使用了独立的应用程序域，且web.config的<system.data>节点是否为SqlClient添加了全局加密/证书信任配置，覆盖了连接字符串参数。

SQL Server端检查项 #

• DEV SQL Server加密强制配置：对比其他环境，检查DEV实例的服务器属性->连接->加密连接是否被意外设置为"强制加密"。即便未配置SSL证书，开启该选项后SQL会生成自签名证书，而DEV的IIS应用池身份不信任该证书链。
• SQL客户端协议配置：在DEV的SQL Server配置管理器中，查看SQL Native Client 11.0配置（32/64位）->客户端协议，是否强制启用了SSL？若客户端协议强制SSL，会忽略连接字符串的Encrypt=false设置，触发证书链验证。
• DEV SQL Server证书残留：检查DEV的SQL Server配置管理器中，SQL Server网络配置->MSSQLSERVER的协议->证书是否存在残留的无效证书配置，导致SQL尝试使用该证书加密，进而触发验证错误。

额外排查点 #

• DEV服务器组策略差异：检查DEV服务器是否被应用了特殊组策略，比如Windows的"SSL证书验证强制"策略，导致应用池账户无法正常信任SQL的自签名证书或CA证书。
• 连接字符串优先级验证：确认应用的连接字符串是否被machine.config等上层配置文件覆盖，导致TrustServerCertificate=true未实际生效。可通过代码输出当前使用的连接字符串，验证参数是否正确加载。

内容的提问来源于stack exchange，提问作者Zachary