如何强制gRPC使用TLS1.2而非TLS1.3（Google .NET Framework实现）

针对Google提供的.NET Framework版gRPC，可通过配置SSL凭据强制指定使用TLS1.2，以下是客户端和服务器端的具体实现方式：

客户端配置 #

创建gRPC Channel时，自定义SslCredentials并指定SslProtocols.Tls12来限制协议版本：

// 构建SSL凭据，强制使用TLS1.2
var sslCredentials = new SslCredentials(
    // 可选：指定TLS1.2兼容的加密套件（按需调整）
    new List<string> { "TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384", "TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256" },
    // 证书验证回调（生产环境需替换为真实校验逻辑，示例为跳过验证）
    (sender, certificate, chain, sslPolicyErrors) => true,
    // 指定强制使用的TLS版本
    (sender, certificate, chain, sslPolicyErrors) => SslProtocols.Tls12);

// 创建带指定凭据的Channel
var channel = new Channel("your-service-host:port", sslCredentials);

服务器端配置 #

启动gRPC Server时，配置SslServerCredentials并明确设置SslProtocols.Tls12：

// 加载服务器证书与密钥
var keyCertPair = new KeyCertificatePair(
    File.ReadAllText("server-cert.pem"),
    File.ReadAllText("server-key.pem"));

// 构建服务器SSL凭据，强制使用TLS1.2
var serverCredentials = new SslServerCredentials(
    new List<KeyCertificatePair> { keyCertPair },
    rootCertificates: null, // 按需设置根证书
    sslProtocols: SslProtocols.Tls12);

// 启动gRPC服务器
var server = new Server
{
    Services = { YourGrpcService.BindService(new YourServiceImpl()) },
    Ports = { new ServerPort("0.0.0.0", 50051, serverCredentials) }
};
server.Start();

注意事项 #

• 建议使用.NET Framework 4.6及以上版本，低版本可能需额外配置系统注册表启用TLS1.2。
• 生产环境请勿跳过证书验证，需实现符合安全要求的证书校验逻辑。

内容的提问来源于stack exchange，提问作者Vit