设置SecurityProtocol与验证回调仍遇SSL/TLS安全通道创建失败

既然SoapUI能正常调用，说明证书、用户名和服务端配置本身是没问题的，问题大概率出在.NET代码对证书的处理或者请求配置的细节上。我给你几个优先级较高的排查点：

1. 修正证书加载的KeyStorageFlags #

.p12格式的证书在加载时，如果没有指定合适的X509KeyStorageFlags，可能会导致私钥无法被.NET程序访问，这是很常见的问题。你可以修改证书加载的代码，添加存储标志：

X509Certificate2 certificate = new X509Certificate2(
    filePath, 
    "", // 你的证书密码
    X509KeyStorageFlags.MachineKeySet | X509KeyStorageFlags.PersistKeySet | X509KeyStorageFlags.Exportable);

这个组合的标志会让证书加载到机器级存储，并且允许私钥被导出（部分服务端需要这个权限），避免因为权限问题导致无法使用证书。

2. 提前设置ServicePointManager的静态属性 #

ServicePointManager是静态类，它的配置应该在第一次发送请求之前就完成，而不是每次创建WebRequest时重复设置。你可以把这些配置移到应用启动的地方，比如Main方法或者初始化代码里：

// 在应用启动时执行一次即可
ServicePointManager.SecurityProtocol = SecurityProtocolType.Tls12;
ServicePointManager.Expect100Continue = true;
ServicePointManager.ServerCertificateValidationCallback = (sender, cert, chain, sslError) => true;

虽然重复设置也可能生效，但提前设置能确保所有后续的请求都使用正确的配置。

3. 设置正确的Content-Type #

SOAP请求对Content-Type的要求很严格，WebClient默认的Content-Type可能不符合服务端的要求。你需要在GetWebRequest方法里添加：

request.ContentType = "text/xml; charset=utf-8";

如果是SOAP 1.2版本，则需要设置为application/soap+xml; charset=utf-8，根据你的SOAP Envelope来看，应该是SOAP 1.1，所以用前者。

4. 检查证书链的完整性 #

SoapUI会自动加载证书链中的根证书和中间证书，但.NET可能需要手动确保证书链完整。你可以尝试：

• 将.p12文件中的所有证书（包括中间证书和根证书）导入到本地计算机的"受信任的根证书颁发机构"和"中级证书颁发机构"存储中；
• 或者在代码中手动加载完整的证书链，然后添加到请求的ClientCertificates里。

另外，也可以尝试通过证书指纹来加载存储中的证书，而不是直接从文件加载，这样.NET能自动处理证书链：

using (var store = new X509Store(StoreName.My, StoreLocation.LocalMachine))
{
    store.Open(OpenFlags.ReadOnly);
    // 替换成你的证书指纹
    var certCollection = store.Certificates.Find(X509FindType.FindByThumbprint, "A145CCD2D02592DB", false);
    if (certCollection.Count > 0)
    {
        request.ClientCertificates.Add(certCollection[0]);
    }
    store.Close();
}

5. 启用SSL日志排查细节 #

如果以上方法都不行，建议启用.NET的网络日志，查看TLS握手过程中的具体错误。在你的app.config或web.config中添加以下配置：

<system.diagnostics>
    <sources>
        <source name="System.Net" tracemode="includehex" maxdatasize="1024">
            <listeners>
                <add name="System.Net"/>
            </listeners>
        </source>
        <source name="System.Net.Sockets">
            <listeners>
                <add name="System.Net"/>
            </listeners>
        </source>
    </sources>
    <switches>
        <add name="System.Net" value="Verbose"/>
        <add name="System.Net.Sockets" value="Verbose"/>
    </switches>
    <sharedListeners>
        <add name="System.Net"
             type="System.Diagnostics.TextWriterTraceListener"
             initializeData="ssl_debug.log"
        />
    </sharedListeners>
    <trace autoflush="true"/>
</system.diagnostics>

运行程序后，查看生成的ssl_debug.log，里面会包含TLS握手的详细步骤，比如是证书验证失败、私钥无法访问，还是服务端要求的加密套件不匹配等问题，能帮你定位到具体原因。

6. 检查代理设置 #

有时候SoapUI配置了代理，而.NET代码没有，或者反之，会导致SSL连接失败。你可以尝试在GetWebRequest中设置代理：

// 使用系统默认代理
request.Proxy = WebRequest.DefaultWebProxy;
request.Proxy.Credentials = CredentialCache.DefaultCredentials;

// 或者如果不需要代理，直接禁用
// request.Proxy = null;

先从第1、2、3点开始尝试，这几个是最常见的解决方法，应该能解决大部分问题。

内容的提问来源于stack exchange，提问作者Max von der Mühle