.NET Framework下WCF客户端正常，.NET Core中SSL连接失败求助

问题背景 #

将同一份WSDL文件分别导入.NET Framework和.NET Core项目后，.NET Framework中调用正常，但.NET Core抛出错误：

"The SSL connection could not be established. Unable to read data from the transport connection: An existing connection was forcibly closed by the remote host."

已尝试设置SecurityProtocolType为SystemDefault或指定Tls/Tls1.2等协议，问题仍存在。

相关代码 #

.NET Core代码：

System.Net.ServicePointManager.SecurityProtocol = SecurityProtocolType.SystemDefault;
ApiPortTypeClient api = new ApiPortTypeClient();
api.ClientCredentials.ClientCertificate.Certificate = this.m_Certificate;
api.Endpoint.Address = new System.ServiceModel.EndpointAddress(this.Url);

OOhlsapi gto;
string fehlercode;
string fehlertext;

string resp = api.get(usr, new string[] { "description" }, out gto, out fehlercode, out fehlertext);

.NET Framework代码：

OOApi api=new OOApi();

api.ClientCertificates.Add(this.m_Certificate);
api.Url=m_Url;

OOhlsapi gto;
string fehlercode;
string fehlertext;
string resp= api.get(usr, new string[]{"description"}, out gto, out fehlercode, out fehlertext);

解决方案 #

1. 直接为WCF客户端绑定配置SSL参数 #

.NET Core的WCF客户端不会自动继承ServicePointManager的设置，需要显式为绑定指定SSL协议和认证方式：

// 创建BasicHttps绑定并配置SSL策略
var binding = new BasicHttpsBinding(BasicHttpsSecurityMode.Transport);
binding.Security.Transport.ClientCredentialType = HttpClientCredentialType.Certificate;
// 指定服务端支持的TLS版本，比如TLS1.2
binding.Security.Transport.SslProtocols = System.Security.Authentication.SslProtocols.Tls12;

// 使用配置好的绑定初始化客户端
ApiPortTypeClient api = new ApiPortTypeClient(binding, new System.ServiceModel.EndpointAddress(this.Url));
api.ClientCredentials.ClientCertificate.Certificate = this.m_Certificate;

// 后续调用逻辑不变
OOhlsapi gto;
string fehlercode;
string fehlertext;
string resp = api.get(usr, new string[] { "description" }, out gto, out fehlercode, out fehlertext);

2. 确保证书链完整且被信任 #

.NET Core对证书链的验证比.NET Framework严格，需确认：

• 客户端证书包含完整信任链（根证书+中间证书）
• 证书已导入本地计算机的「受信任的根证书颁发机构」和「中级证书颁发机构」存储区
• 若代码加载证书，需导入包含私钥的完整证书集：

var certCollection = new X509Certificate2Collection();
// 导入带密码的PFX证书，确保包含完整链
certCollection.Import("path/to/your/cert.pfx", "cert-password", X509KeyStorageFlags.MachineKeySet | X509KeyStorageFlags.PersistKeySet);
api.ClientCredentials.ClientCertificate.Certificate = certCollection[0];

3. 验证证书权限与私钥可用性 #

.NET Core对证书私钥的权限要求更严格：

• 确认证书包含可导出的私钥
• 给运行程序的账户授予证书私钥的读取权限：
  1. 打开证书管理器，找到目标证书
  2. 右键 → 所有任务 → 管理私钥
  3. 添加运行账户，勾选「读取」权限

4. 匹配服务端支持的密码套件 #

使用openssl工具查询服务端支持的TLS版本和密码套件：

openssl s_client -connect your-service-domain:443

根据输出结果，在客户端绑定中指定匹配的密码套件（.NET Core 3.0+支持）：

binding.Security.Transport.CipherSuitesPolicy = new CipherSuitesPolicy(new[]
{
    TlsCipherSuite.TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384,
    // 添加服务端输出的其他可用套件
});

5. 临时禁用证书验证（仅测试用） #

若需快速排查是否为证书信任问题，可临时禁用验证（生产环境绝对禁止）：

api.ClientCredentials.ServiceCertificate.SslCertificateAuthentication = new X509ServiceCertificateAuthentication()
{
    CertificateValidationMode = X509CertificateValidationMode.None,
    RevocationMode = X509RevocationMode.NoCheck
};

内容的提问来源于stack exchange，提问作者BilalMr