.NET 5 HttpClient生产环境SSL连接失败问题求助

使用HttpClient从公网URL获取图片时，Postman及本地开发环境测试均正常，但部署到生产Web服务器后，调用GetByteArrayAsync()抛出错误：

'The SSL connection could not be established, see inner exception.'

内部异常详情：

System.Security.Authentication.AuthenticationException: Authentication failed because the remote party sent a TLS alert: 'ProtocolVersion'. ---> System.ComponentModel.Win32Exception (0x80090326): The message received was unexpected or badly formatted. --- End of inner exception stack trace --- at System.Net.Security.SslStream.ForceAuthenticationAsync[TIOAdapter](TIOAdapter adapter, Boolean receiveFirst, Byte[] reAuthenticationData, Boolean isApm) at System.Net.Http.ConnectHelper.EstablishSslConnectionAsyncCore(Boolean async, Stream stream, SslClientAuthenticationOptions sslOptions, CancellationToken cancellationToken)

本地可正常运行的代码：

var client = new HttpClient();
ServicePointManager.SecurityProtocol = SecurityProtocolType.Tls12 | SecurityProtocolType.Tls11 | SecurityProtocolType.Tls;
ServicePointManager.ServerCertificateValidationCallback += (sender, certificate, chain, sslPolicyErrors) => true;
var result = await client.GetByteArrayAsync("url");

尝试过的无效操作：

1. 添加请求头配置：

client.DefaultRequestHeaders.Add("Accept-Encoding", "gzip");
client.DefaultRequestHeaders.Add("Accept-Encoding", "deflate");
client.DefaultRequestHeaders.Add("Accept-Encoding", "br");

2. 使用HttpRequestMessage和HttpClientHandler重构代码：

var handler = new HttpClientHandler();
handler.ServerCertificateCustomValidationCallback = HttpClientHandler.DangerousAcceptAnyServerCertificateValidator;
using (var client = new HttpClient(handler))
using (var request = new HttpRequestMessage(HttpMethod.Get, "url"))
{
    request.Headers.Host = "url";
    using (var response = await client.SendAsync(request))
    {
        Console.WriteLine(response.StatusCode);
    }
}

补充信息：更换其他公网URL时，生产服务器可正常获取图片。

核心原因 #

生产服务器的TLS协议版本支持范围与目标图片URL的服务器不匹配。目标服务器大概率仅支持TLS 1.2或更高版本，但生产服务器的系统默认未启用对应协议，或者代码中的协议配置未生效。

本地和Postman正常的原因：

• 本地开发环境（如Windows 10/11、较新的.NET版本）默认已启用TLS 1.2+，Postman也默认支持最新TLS协议。
• 生产服务器可能是较旧的Windows Server版本（如Windows Server 2012 R2及以下），默认未启用TLS 1.2/1.3，或者.NET运行时的默认协议版本较低。

具体解决步骤 #

1. 代码中强制指定正确的TLS版本 #

弃用过时的TLS 1.0/1.1，直接指定TLS 1.2+，并且要在创建HttpClient前完成配置：

// 针对.NET Framework，提前设置ServicePointManager
ServicePointManager.SecurityProtocol = SecurityProtocolType.Tls12 | SecurityProtocolType.Tls13;

// 针对.NET Core/.NET 5+，推荐使用HttpClientHandler配置
var handler = new HttpClientHandler();
handler.SslProtocols = SslProtocols.Tls12 | SslProtocols.Tls13;
handler.ServerCertificateCustomValidationCallback = HttpClientHandler.DangerousAcceptAnyServerCertificateValidator;

using (var client = new HttpClient(handler))
{
    var result = await client.GetByteArrayAsync("目标URL");
}

注意：.NET Core/.NET 5+环境下，ServicePointManager的设置可能不生效，优先使用HttpClientHandler.SslProtocols。

2. 配置生产服务器的系统TLS协议（以Windows Server为例） #

1. 打开注册表编辑器，导航到HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols
2. 启用TLS 1.2客户端支持：
   • 新建项TLS 1.2\Client，添加两个DWORD值：DisabledByDefault设为0，Enabled设为1
3. 若系统支持，启用TLS 1.3客户端支持：
   • 新建项TLS 1.3\Client，同样设置DisabledByDefault为0，Enabled为1
4. 修改后重启服务器生效。

3. 验证目标服务器的TLS兼容性 #

在生产服务器上用PowerShell测试目标URL的TLS支持：

Invoke-WebRequest -Uri "目标URL" -SslProtocol Tls12

如果命令成功，说明TLS 1.2可用；失败则需进一步排查服务器的TLS配置或网络限制。

4. 检查并升级.NET版本 #

若使用.NET Framework 4.5及以下版本，默认不支持TLS 1.2，需升级到.NET Framework 4.6+，或者安装对应版本的TLS 1.2支持补丁。

内容的提问来源于stack exchange，提问作者Jio