部署在IIS的Blazor PWA调用远程SQL Server时证书链不受信任求助

可行的解决方法 #

1. 显式在EF配置中指定TrustServerCertificate #

连接字符串的参数可能未被Entity Framework正确解析，可在DbContext的配置方法中强制设置：

protected override void OnConfiguring(DbContextOptionsBuilder optionsBuilder)
{
    var connectionString = "你的完整连接字符串";
    optionsBuilder.UseSqlServer(connectionString, 
        sqlOptions => sqlOptions.TrustServerCertificate(true));
}

2. 确认Blazor PWA的托管模式 #

• Blazor WebAssembly（WASM）模式：前端无法直接通过EF连接SQL Server，必须通过后端API中转。此时需检查后端API的连接字符串配置，确保TrustServerCertificate=True或Encrypt=False参数生效，同时验证后端服务的运行环境（如IIS应用池）配置无误。
• Blazor Server模式：确保应用池身份拥有远程SQL Server的访问权限，且该身份的证书信任链包含SQL Server的证书（或通过显式配置跳过证书验证）。

3. 强制关闭加密（需确认SQL Server允许） #

若SQL Server未启用加密，可在连接字符串中明确设置Encrypt=False，同时排查是否存在全局配置覆盖该参数：

• 检查项目环境变量中是否存在DOTNET_SYSTEM_DATA_SQLCLIENT_ALLOW_ENCRYPTION_OVERRIDE并被设置为false（该变量会阻止修改Encrypt参数）。
• 确认appsettings.json或其他配置文件中没有重复定义连接字符串并覆盖Encrypt属性。

4. 将SQL Server证书导入IIS服务器的受信任根证书库 #

如果SQL Server使用自签名证书，即使设置TrustServerCertificate=True仍可能失效，可手动信任证书：

1. 在SQL Server所在机器上，打开MMC控制台，添加「证书」管理单元（针对本地计算机）。
2. 找到SQL Server的证书（通常位于「个人」→「证书」，CN为SQL服务器名称），导出为不含私钥的CER文件。
3. 在IIS服务器上，打开MMC控制台，添加「证书」管理单元（针对本地计算机），将导出的CER文件导入「受信任的根证书颁发机构」→「证书」。

5. 升级Microsoft.Data.SqlClient版本 #

不同版本的SqlClient对证书验证逻辑可能存在差异，尝试升级NuGet包Microsoft.Data.SqlClient到最新稳定版后重新部署。

内容的提问来源于stack exchange，提问作者John Willey