.NET Framework 4.8为何在特定环境下选用SslProtocols=Default？

核心原因 #

.NET Framework 4.7及以上版本默认行为是让操作系统自动选择最优TLS协议（对应网络跟踪中的SslProtocols=None），但环境B出现SslProtocols=Default（强制使用已废弃的TLS1.0/SSL3），通常是以下配置差异导致：

1. 注册表强加密配置未启用 #

Windows注册表中针对.NET Framework的强加密开关未开启时，应用会回退到旧的协议集：

• 检查环境B服务器的以下注册表路径（32位/64位应用需分别检查）：
  • 64位应用：HKLM\SOFTWARE\Microsoft\.NETFramework\v4.0.30319
  • 32位应用：HKLM\SOFTWARE\Wow6432Node\Microsoft\.NETFramework\v4.0.30319
• 若SchUseStrongCrypto或SystemDefaultTlsVersions键值为0（或不存在），则.NET会强制使用Default协议集。

2. 应用配置文件（app.config/web.config）的开关设置 #

环境B的应用配置中可能存在禁用强加密的配置，比如：

<runtime>
  <AppContextSwitchOverrides value="Switch.System.Net.DontEnableSchUseStrongCrypto=true" />
</runtime>

该配置会让.NET放弃使用系统默认的强协议集，回退到Default。

3. 第三方组件或隐性代码设置 #

应用依赖的第三方库、框架代码可能在环境B的部署包中全局设置了ServicePointManager.SecurityProtocol = SecurityProtocolType.Default，覆盖了.NET的默认行为。

最优解决方案（保留向前兼容性） #

不要硬编码TLS1.2，而是通过配置让.NET复用系统默认协议集：

方法1：修正注册表配置 #

在环境B的服务器上添加/修改以下注册表项（需管理员权限）：

# 64位.NET Framework应用
[HKLM\SOFTWARE\Microsoft\.NETFramework\v4.0.30319]
"SchUseStrongCrypto"=dword:00000001
"SystemDefaultTlsVersions"=dword:00000001

# 32位.NET Framework应用
[HKLM\SOFTWARE\Wow6432Node\Microsoft\.NETFramework\v4.0.30319]
"SchUseStrongCrypto"=dword:00000001
"SystemDefaultTlsVersions"=dword:00000001

设置后重启应用，.NET会自动使用操作系统支持的最高TLS版本（包括TLS1.3，需Windows Server 2016安装KB4535680及后续更新）。

方法2：修正应用配置文件 #

确保app.config/web.config中启用强加密开关：

<runtime>
  <AppContextSwitchOverrides value="Switch.System.Net.DontEnableSchUseStrongCrypto=false;Switch.System.Net.DontEnableTls12ByDefault=false" />
</runtime>

备选：代码层面兼容设置（仅当配置修改不可行时） #

若必须通过代码控制，不要只设置Tls12，而是包含所有现代TLS版本：

ServicePointManager.SecurityProtocol = SecurityProtocolType.Tls12 | SecurityProtocolType.Tls13;

注意：Windows Server 2016默认不支持TLS1.3，需安装对应更新后该配置才会生效。

内容的提问来源于stack exchange，提问作者GaryW