向Apple Wallet Pass推送通知触发WinHttpException异常求助

可能遗漏的关键配置 #

• 缺失apns-topic请求头：Apple APNS推送（尤其是Wallet凭证）强制要求该头，值需与证书中的PassTypeIdentifier完全一致。你的代码未添加此头，这是核心问题之一。
• Payload格式错误：当notificationContent为空时，生成的{"aps" : "" }不符合APNS规范，aps必须是JSON对象而非字符串，正确格式应为{"aps": {}}。
• 未强制指定TLS版本：Apple APNS仅支持TLS 1.2及以上，需显式配置WinHttpHandler使用TLS1.2，避免系统默认协议不兼容。
• 证书私钥权限不足：即使证书有效，运行程序的账户可能没有证书私钥的读取权限，导致TLS握手失败。

调试排查步骤 #

• 开启WinHttp详细日志：通过注册表配置WinHttp日志，记录请求/响应细节：
  1. 打开注册表编辑器，定位到HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\WinHttp
  2. 添加DWORD值DefaultSecureProtocols，设置为0xa00（代表TLS1.2）
  3. 添加DWORD值EnableLogging，设置为1
  4. 添加字符串值LogFile，指定日志路径（如C:\WinHttpAPNLog.txt）
     重启程序后查看日志，定位协议交互或请求错误。
• 抓包分析HTTP2交互：使用Wireshark抓取HTTPS流量，过滤http2协议，检查TLS握手是否完成、HTTP2连接是否建立，以及服务器返回的错误帧内容。若有证书私钥，可配置TLS解密查看明文请求。
• 验证Payload合法性：将生成的Payload复制到JSON校验工具中，确保结构符合APNS规范，aps字段为对象类型。
• 用OpenSSL验证证书连接：执行以下命令测试证书能否正常连接APNS沙箱服务器：

  openssl s_client -connect api.sandbox.push.apple.com:443 -cert your_certificate.pem -key your_private_key.pem
  

  若能成功建立连接并收到服务器响应，说明证书本身无问题。

代码修正建议 #

针对核心问题，修正后的关键代码片段如下：

private static string pushToken = "dbc56849<hidden>";
private static string AppleApnServer = "https://api.sandbox.push.apple.com";
// 替换为你的PassTypeIdentifier，可从证书主题或配置文件读取
private static string PassTypeIdentifier = "com.yourcompany.passtype";

public static async Task<PushResult> SendPushNotificationToWalletPass(string notificationContent)
{
    byte[] certificateData = LoadCertificate();
    X509Certificate2 certificate = new X509Certificate2(
        certificateData, 
        String.Empty, 
        X509KeyStorageFlags.MachineKeySet | X509KeyStorageFlags.PersistKeySet | X509KeyStorageFlags.Exportable
    );            
    string url = $"{AppleApnServer}/3/device/{pushToken}"; // 无需手动指定443端口，URL已包含https

    // 修正Payload生成逻辑
    StringBuilder payload = new StringBuilder();
    payload.Append("{ \"aps\" : ");
    if (string.IsNullOrWhiteSpace(notificationContent))
    {                
        payload.Append("{} }"); // 空aps字典，符合APNS规范
    }
    else
    {                
        payload.Append(notificationContent);
        payload.Append(" }");
    }

    var handler = new Http2Handler();
    handler.ClientCertificates.Add(certificate);
    handler.SslProtocols = SslProtocols.Tls12; // 强制使用TLS1.2
    handler.AutomaticDecompression = DecompressionMethods.GZip | DecompressionMethods.Deflate;

    using (var httpClient = new HttpClient(handler))
    {
        using (var request = new HttpRequestMessage(HttpMethod.Post, url))
        {
            var messageGuid = Guid.NewGuid().ToString();
            // 指定JSON内容类型
            request.Content = new StringContent(
                payload.ToString(), 
                Encoding.UTF8, 
                "application/json"
            );
            request.Headers.Add("apns-id", messageGuid);
            request.Headers.Add("apns-push-type", "alert");
            // 添加必须的apns-topic头
            request.Headers.Add("apns-topic", PassTypeIdentifier);
                                   
            using (var response = await httpClient.SendAsync(request, HttpCompletionOption.ResponseHeadersRead))
            {
                HttpStatusCode statusCode = response.StatusCode;
                string reasonPhrase = response.ReasonPhrase;
                bool success = response.IsSuccessStatusCode;

                Console.WriteLine($"APN {(success ? "Delivered Successfully!" : $"Failed to Send! :: StatusCode [{statusCode}] Reason [{reasonPhrase}]")} :: PushToken [{pushToken}]");

                if (!success)
                {
                    switch (statusCode)
                    {
                        case HttpStatusCode.Gone:
                            return PushResult.DeviceNotRegistered;
                        default:
                            return PushResult.Failure;
                    }
                }
                return PushResult.Success;
            }
        }
    }
}

public enum PushResult
{
    Success = 0,
    Failure = 100,
    DeviceNotRegistered = 200
}

private class Http2Handler : WinHttpHandler
{
    protected override Task<HttpResponseMessage> SendAsync(HttpRequestMessage request, CancellationToken cancellationToken)
    {
        request.Version = HttpVersion.Version20; // 使用官方常量，避免字符串版本号错误
        return base.SendAsync(request, cancellationToken);
    }
}

代码修正点说明 #

1. 添加apns-topic请求头，确保与PassTypeIdentifier匹配
2. 修正空Payload的JSON格式，将""改为{}
3. 强制WinHttpHandler使用TLS1.2
4. 为StringContent指定application/json内容类型，符合APNS要求
5. 使用HttpVersion.Version20常量替代字符串版本号，避免格式错误
6. 移除URL中的手动443端口指定（https默认端口为443）

内容的提问来源于stack exchange，提问作者marak