C#如何检测主机TLS 1.3支持？求旧系统兼容替代方案

以下是几个不依赖Windows 11/Server 2022的跨平台方案，适用于.NET Core/.NET 5+环境：

方案1：使用HttpClient逐步尝试TLS版本 #

从最高版本（TLS 1.3）开始，依次尝试更低的TLS版本，直到请求成功，即可确定主机支持的最高版本。

using System.Net.Http;
using System.Net.Security;
using System.Security.Cryptography.X509Certificates;
using System.Threading.Tasks;

public static async Task<SslProtocols?> GetHighestTlsVersion(string host)
{
    // 按从高到低的顺序定义要尝试的TLS版本
    var tlsVersions = new[] 
    { 
        SslProtocols.Tls13, 
        SslProtocols.Tls12, 
        SslProtocols.Tls11, 
        SslProtocols.Tls 
    };

    foreach (var version in tlsVersions)
    {
        try
        {
            var handler = new HttpClientHandler
            {
                SslProtocols = version,
                // 注意：生产环境请勿跳过证书验证，需实现合法的验证逻辑
                ServerCertificateCustomValidationCallback = (_, __, ___, ____) => true
            };

            using var client = new HttpClient(handler);
            // 发送HEAD请求以减少数据传输
            await client.SendAsync(new HttpRequestMessage(HttpMethod.Head, $"https://{host}"));
            
            return version;
        }
        catch (HttpRequestException)
        {
            // 当前版本不支持，尝试下一个
            continue;
        }
        catch
        {
            // 捕获其他异常，继续尝试
            continue;
        }
    }

    return null; // 未找到支持的TLS版本
}

方案2：使用SslStream手动完成TLS握手 #

通过TcpClient建立TCP连接后，使用SslStream指定TLS版本进行握手，这种方式更底层，也能跨平台工作。

using System.Net.Sockets;
using System.Net.Security;
using System.Security.Cryptography.X509Certificates;
using System.Threading.Tasks;

public static async Task<SslProtocols?> GetHighestTlsVersion(string host)
{
    var tlsVersions = new[] 
    { 
        SslProtocols.Tls13, 
        SslProtocols.Tls12, 
        SslProtocols.Tls11, 
        SslProtocols.Tls 
    };

    foreach (var version in tlsVersions)
    {
        using var tcpClient = new TcpClient();
        try
        {
            await tcpClient.ConnectAsync(host, 443);
            
            using var sslStream = new SslStream(
                tcpClient.GetStream(),
                leaveInnerStreamOpen: false,
                // 生产环境需替换为合法的证书验证逻辑
                userCertificateValidationCallback: (_, __, ___, ____) => true);

            await sslStream.AuthenticateAsClientAsync(new SslClientAuthenticationOptions
            {
                TargetHost = host,
                EnabledSslProtocols = version
            });

            return sslStream.SslProtocol;
        }
        catch (IOException)
        {
            continue;
        }
        catch (AuthenticationException)
        {
            continue;
        }
    }

    return null;
}

方案3：自动协商获取最高版本 #

如果不需要强制检测所有可能版本，可以让SslStream自动协商当前环境支持的最高TLS版本，直接返回协商结果：

using System.Net.Sockets;
using System.Net.Security;
using System.Security.Cryptography.X509Certificates;
using System.Threading.Tasks;

public static async Task<SslProtocols?> GetNegotiatedTlsVersion(string host)
{
    using var tcpClient = new TcpClient();
    try
    {
        await tcpClient.ConnectAsync(host, 443);
        
        using var sslStream = new SslStream(
            tcpClient.GetStream(),
            false,
            (_, __, ___, ____) => true);

        await sslStream.AuthenticateAsClientAsync(host);
        return sslStream.SslProtocol;
    }
    catch
    {
        return null;
    }
}

注意事项 #

• 生产环境必须移除证书验证跳过逻辑，实现符合安全规范的证书校验，避免中间人攻击风险。
• 部分主机可能已禁用TLS 1.0/1.1等旧版本，实际检测时可能只会返回TLS 1.2或1.3。
• 以上方案均支持Windows 10及以下、Linux、macOS等跨平台环境。

内容的提问来源于stack exchange，提问作者Meisam Hashemi