如何在共享主机加载.p12证书？ASP.NET 4.7 SSL/TLS通道创建失败求助

以下是针对共享主机部署后SSL/TLS通道创建失败问题的分步排查和解决方法：

1. 修复证书加载权限问题（最可能的原因） #

共享主机的应用池身份通常权限受限，默认加载p12证书时会尝试将密钥写入本地证书存储，导致权限不足。修改证书加载代码，添加EphemeralKeySet标记，避免持久化密钥：

System.Net.ServicePointManager.SecurityProtocol = SecurityProtocolType.Tls12
Dim certPath As String = Server.MapPath("~/BolsasPixCert.p12")
' 添加密钥存储标记，避免权限问题
Dim uidCert As X509Certificate2 = New X509Certificate2(certPath, "", X509KeyStorageFlags.EphemeralKeySet Or X509KeyStorageFlags.Exportable)
Dim options = New RestClientOptions("https://pix.api.efipay.com.br") With {
    .ClientCertificates = New X509CertificateCollection() From {uidCert},
    .ThrowOnAnyError = True
}

同时确认：

• BolsasPixCert.p12文件已上传至共享主机对应路径，且应用池身份（如IIS AppPool\你的站点池）拥有该文件的读取权限。

2. 验证主机的TLS 1.2支持 #

虽然代码指定了TLS 1.2，但部分共享主机可能系统级禁用了该协议：

• 联系主机提供商确认服务器已开启TLS 1.2（需Windows Server 2012及以上版本支持）。
• 若主机允许，可通过服务器控制面板检查SSL/TLS协议启用状态。

3. 改用服务器证书存储加载证书 #

部分共享主机禁止直接读取本地p12文件，需将证书导入服务器的证书存储后加载：

1. 联系主机提供商将BolsasPixCert.p12导入到本地计算机-个人证书存储。
2. 修改代码通过证书指纹加载：

System.Net.ServicePointManager.SecurityProtocol = SecurityProtocolType.Tls12
Dim store As New X509Store(StoreName.My, StoreLocation.LocalMachine)
store.Open(OpenFlags.ReadOnly)
' 替换为你的证书指纹（注意去掉空格）
Dim certs = store.Certificates.Find(X509FindType.FindByThumbprint, "ABC123DEF456GHI789JKL0", False)
Dim uidCert As X509Certificate2 = Nothing
If certs.Count > 0 Then
    uidCert = certs(0)
End If
store.Close()

If uidCert IsNot Nothing Then
    Dim options = New RestClientOptions("https://pix.api.efipay.com.br") With {
        .ClientCertificates = New X509CertificateCollection() From {uidCert},
        .ThrowOnAnyError = True
    }
    ' 后续请求逻辑
End If

4. 检查目标API的证书链信任 #

共享主机可能未安装目标API的根/中间证书，导致SSL握手失败：

• 使用SSL证书检测工具确认https://pix.api.efipay.com.br的证书链完整。
• 若存在未信任的中间证书，联系主机提供商将其导入服务器的受信任根证书存储。

5. 启用详细日志排查 #

添加web.config配置生成SSL握手日志，定位具体错误：

<configuration>
  <system.diagnostics>
    <sources>
      <source name="System.Net" tracemode="includehex" maxdatasize="1024">
        <listeners><add name="System.Net"/></listeners>
      </source>
      <source name="System.Net.Sockets">
        <listeners><add name="System.Net"/></listeners>
      </source>
    </sources>
    <sharedListeners>
      <add name="System.Net" type="System.Diagnostics.TextWriterTraceListener" initializeData="network.log"/>
    </sharedListeners>
    <switches>
      <add name="System.Net" value="Verbose"/>
      <add name="System.Net.Sockets" value="Verbose"/>
    </switches>
  </system.diagnostics>
</configuration>

部署后查看站点根目录下的network.log，根据日志中的SSL错误信息进一步排查。

额外注意事项 #

• 确认Global.asax中的ServicePointManager.SecurityProtocol设置未被注释（原代码中的单引号需移除），且在Application_Start方法中执行。

内容的提问来源于stack exchange，提问作者Premy