.NET 8隔离版迁移后调用API遇TLS非法参数认证异常求助

异常信息 #

InnerException :System.Security.Authentication.AuthenticationException: Authentication failed because the remote party sent a TLS alert: 'IllegalParameter'. ---> System.ComponentModel.Win32Exception (0x80090326): The message received was unexpected or badly formatted. --- End of inner exception stack trace --- at System.Net.Security.SslStream.ForceAuthenticationAsync[TIOAdapter](Boolean receiveFirst, Byte[] reAuthenticationData, CancellationToken cancellationToken) at System.Net.Http.ConnectHelper.EstablishSslConnectionAsync(SslClientAuthenticationOptions sslOptions, HttpRequestMessage request, Boolean async, Stream stream, CancellationToken cancellationToken)

当前环境配置 #

• Azure函数应用：TLS版本1.2，运行时版本~4
• Azure存储账户：TLS版本1.2
• .NET版本：.NET 8 Isolated
• HTTP版本：1.1
• 数据存储：Fusion

解决建议 #

• 强制指定TLS 1.2版本：.NET 8默认启用TLS 1.3，需显式配置HttpClient仅使用TLS 1.2。在初始化HttpClientHandler时设置SslProtocols = SslProtocols.Tls12，覆盖默认设置。
• 调整TLS密码套件：.NET 8对密码套件的默认支持与.NET Core 3.1存在差异，需指定Azure存储兼容的TLS 1.2密码套件。可通过CipherSuitesPolicy配置，选用如TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384、TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256等套件。
• 检查Fusion客户端配置：迁移后确认Fusion存储的连接字符串、客户端初始化参数是否正确，避免启用不兼容的SSL验证选项或证书配置。
• 切换HTTP Handler：尝试设置环境变量DOTNET_SYSTEM_NET_HTTP_USESOCKETSHTTPHANDLER=0，切换回旧版HttpHandler，排查是否为SocketsHttpHandler的兼容性问题。
• 验证证书信任链：检查Azure存储账户的证书是否在函数应用的信任列表中，排除证书链不完整、格式错误导致的握手失败。
• 查看详细运行日志：在Azure门户查询函数应用的SSL握手阶段日志，定位具体的参数不兼容点。

内容的提问来源于stack exchange，提问作者Amit Dounde