.NET 4.8 ASP.NET应用HttpClient遇SSL/TLS通道错误，单元测试正常

1. 运行身份差异导致SSL信任不匹配 #

单元测试以你当前登录的用户身份运行，但ASP.NET应用默认使用IIS应用池身份（比如IIS AppPool\DefaultAppPool）执行。两者的证书信任存储完全独立：

• 目标网站的SSL证书可能仅在你当前用户的证书存储中被信任，应用池身份的存储里没有该证书
• 可以临时将应用池身份改为你的登录用户验证，如果能正常运行，就把证书导入到本地计算机的根证书存储，或者给应用池身份配置证书访问权限

2. 默认安全协议版本不一致 #

.NET 4.8虽支持自动协商SSL/TLS版本，但ASP.NET应用可能因应用池环境限制，默认仅启用了旧协议（如TLS 1.0/1.1），而目标网站要求TLS 1.2及以上版本。直接在代码中强制指定协议试试：

// 放在Global.asax的Application_Start方法中，全局生效
ServicePointManager.SecurityProtocol = SecurityProtocolType.Tls12 | SecurityProtocolType.Tls13;

3. IIS应用池权限不足 #

应用池身份可能缺少访问系统SSL加密组件或读取证书的权限：

• 将应用池身份加入Cryptographic Operators组，赋予其加密操作权限
• 确认目标网站的证书是否存储在本地计算机而非当前用户的证书存储中

4. 网络代理上下文差异 #

单元测试使用当前用户的代理配置，但ASP.NET应用运行在系统上下文，代理设置不同：

• 尝试在HttpClient中禁用代理测试连通性：

  var handler = new HttpClientHandler { UseProxy = false };
  var client = new HttpClient(handler);
  

• 用应用池身份在命令行执行curl目标URL，验证网络可达性

5. 系统注册表的SSL协议配置限制 #

Windows注册表控制着SSL/TLS协议的启用状态，ASP.NET应用会受这些配置影响：

• 检查HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols下的TLS 1.2/1.3节点，确保客户端和服务器端的对应协议已启用

内容的提问来源于stack exchange，提问作者Bert-Jan