.Net 6 Blazor Server集成PayPal按钮偶现SSL连接失败问题排查

我们在托管于Azure App Service的.NET 6 Blazor Server网站上集成了PayPal按钮，多数情况下运行正常，但偶尔调用/v1/oauth2/token接口时会抛出SSL连接无法建立的错误，错误信息如下：

Message: The SSL connection could not be established, see inner exception. Source: System.Net.Http
Exception.ToString():System.Net.Http.HttpRequestException: The SSL connection could not be established, see inner exception.
---> System.Security.Authentication.AuthenticationException: Authentication failed, see inner exception.
---> System.ComponentModel.Win32Exception (0x80090304): The Local Security Authority cannot be contacted

该错误会导致后续相关调用连锁失败。已知.NET 6默认使用TLS 1.2，Azure App Service也已配置相关加密套件，且多数场景下功能正常，以下是可能的原因分析：

可能的原因 #

• Azure平台临时域服务/网络波动：错误码0x80090304指向本地安全机构无法访问，在Azure环境中，这可能是App Service所在虚拟机临时无法连接Azure域服务组件，属于偶发的平台级资源波动，通常会自动恢复，但可通过重试策略降低影响。

• HttpClient实例管理不当：代码中每次调用都创建新的HttpClient实例，尽管HttpClientFactory会管理连接池，但短时间高频创建实例可能导致TLS握手资源耗尽，引发偶发认证失败。建议复用命名HttpClient实例，减少实例创建频次。

• 缺失TLS握手重试机制：PayPal OAuth接口在高负载或网络延迟时，可能出现TLS握手超时，默认HttpClient配置没有针对这类异常的重试逻辑，直接抛出错误。添加重试策略可覆盖这类偶发场景。

• 加密套件兼容性临时异常：即使已配置加密套件，Azure底层虚拟机在平台更新时可能临时出现加密套件匹配问题，导致与PayPal服务器的TLS握手失败。明确指定HttpClient的TLS版本和加密套件，可避免依赖默认配置的不确定性。

代码优化建议 #

复用命名HttpClient实例 #

在Program.cs中注册专属的PayPal HttpClient实例，后续业务代码复用该实例：

// Program.cs 注册命名HttpClient
builder.Services.AddHttpClient("PayPalClient", client =>
{
    client.BaseAddress = new Uri(paypalBaseUrl);
    client.DefaultRequestHeaders.Add("Authorization", $"Basic {authToken}");
})
.ConfigurePrimaryHttpMessageHandler(() =>
{
    var handler = new HttpClientHandler();
    // 明确指定使用TLS 1.2
    handler.SslProtocols = SslProtocols.Tls12;
    return handler;
});

// 业务类中注入并使用
private readonly IHttpClientFactory _httpClientFactory;

public YourService(IHttpClientFactory httpClientFactory)
{
    _httpClientFactory = httpClientFactory;
}

public async Task<HttpResponseMessage> GetPayPalAuthToken()
{
    var client = _httpClientFactory.CreateClient("PayPalClient");
    var request = new HttpRequestMessage(HttpMethod.Post, "/v1/oauth2/token?grant_type=client_credentials");
    return await client.SendAsync(request);
}

添加重试策略 #

使用Polly库添加针对TLS异常和请求失败的重试逻辑（需先安装Polly和Microsoft.Extensions.Http.Polly包）：

// Program.cs 注册时添加重试策略
builder.Services.AddHttpClient("PayPalClient", client =>
{
    client.BaseAddress = new Uri(paypalBaseUrl);
    client.DefaultRequestHeaders.Add("Authorization", $"Basic {authToken}");
})
.ConfigurePrimaryHttpMessageHandler(() =>
{
    var handler = new HttpClientHandler();
    handler.SslProtocols = SslProtocols.Tls12;
    return handler;
})
.AddPolicyHandler(GetPayPalRetryPolicy());

// 定义重试策略
static IAsyncPolicy<HttpResponseMessage> GetPayPalRetryPolicy()
{
    return Policy
        .Handle<HttpRequestException>()
        .OrResult<HttpResponseMessage>(resp => !resp.IsSuccessStatusCode)
        .WaitAndRetryAsync(3, retryAttempt => TimeSpan.FromSeconds(Math.Pow(2, retryAttempt)));
}

内容的提问来源于stack exchange，提问作者Leonardo Tanoue