如何在.NET应用中启用TLS 1.2？已配置仍遇AAD错误

针对你遇到的AADSTS1002016错误，即便已升级.NET Framework到4.8、添加TLS1.2配置代码并修改注册表，仍可从以下方向排查：

1. 确认代码设置时机 #

System.Net.ServicePointManager.SecurityProtocol = SecurityProtocolType.Tls12; 必须在应用发起第一个HTTP请求前执行：

• 桌面应用：放在Main方法最开头
• IIS Web应用：放在Global.asax的Application_Start方法中
  若设置晚于首次请求，已建立的连接会沿用旧协议，触发错误。

2. 检查第三方组件的协议覆盖 #

部分第三方NuGet包或库可能硬编码设置旧版TLS协议，覆盖你的配置。可通过调试跟踪ServicePointManager.SecurityProtocol的值，在请求发起前后查看是否被修改，定位问题组件后更新或联系开发者修复。

3. 验证.NET强加密注册表项 #

.NET 4.8需配置强加密开关才能优先使用TLS1.2，确保以下注册表项正确设置：

• 32位系统：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319，添加SchUseStrongCrypto（DWORD类型），值设为1
• 64位系统：除上述路径外，同步设置HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\.NETFramework\v4.0.30319下的SchUseStrongCrypto为1

4. 确认Schannel层TLS1.2配置 #

确保系统Schannel层面的TLS1.2启用配置正确：

• 路径：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client
  • 添加Enabled（DWORD），值设为1
  • 添加DisabledByDefault（DWORD），值设为0
• 若为服务端应用，同步检查TLS 1.2\Server下的相同配置

修改注册表后必须重启系统或应用进程，IIS应用需重启对应应用池。

5. 排查中间设备影响 #

公司代理服务器、防火墙或负载均衡器可能强制使用旧版TLS协议，导致实际请求未采用TLS1.2。可通过抓包工具（如Wireshark）捕获请求，查看TLS握手阶段协商的协议版本。

6. 优化协议配置（可选） #

.NET 4.8支持自动选择最优协议，建议不要仅硬编码Tls12，改用以下配置兼容未来版本：

System.Net.ServicePointManager.SecurityProtocol = SecurityProtocolType.Tls12 | SecurityProtocolType.Tls13;

Azure AD已支持TLS1.3，该配置可确保使用最安全的可用协议。

内容的提问来源于stack exchange，提问作者Kj Sharma