.NET 6+Python.NET在Alpine Docker容器中SSL连接建立失败排查

你的问题核心是Alpine Linux容器环境下，.NET 6的SSL握手配置与旧版SOAP API不兼容，导致握手失败。Alpine使用musl libc而非glibc，且默认OpenSSL配置更严格，和Windows/WSL Ubuntu的环境差异是关键。以下是具体排查方向和解决方法：

1. 强制指定兼容的TLS版本 #

旧SOAP API通常只支持TLS 1.0/1.1/1.2，而.NET 6默认禁用了TLS 1.0和1.1。在HttpClientHandler中显式指定支持的TLS版本：

private static async Task<string> PostSOAPRequestAsync(string url, string text)
{
    HttpClientHandler clientHandler = new HttpClientHandler();
    clientHandler.ServerCertificateCustomValidationCallback = (sender, cert, chain, sslPolicyErrors) => true;
    // 根据API实际支持的版本调整，比如只保留TLS1.2如果API支持的话
    clientHandler.SslProtocols = SslProtocols.Tls12 | SslProtocols.Tls11 | SslProtocols.Tls;
    
    HttpClient client = new HttpClient(clientHandler);
    // 剩余代码不变
}

2. 配置兼容的SSL密码套件 #

Alpine默认的OpenSSL密码套件可能不包含旧API所需的弱密码套件。可以通过两种方式解决：

• 在代码中指定密码套件：

  clientHandler.CipherSuitesPolicy = new CipherSuitesPolicy(new[] {
      TlsCipherSuite.Tls_ECDHE_RSA_WITH_AES_256_CBC_SHA,
      // 添加API支持的其他密码套件，可通过抓包WSL成功请求获取
  });
  

• 修改容器内的/etc/ssl/openssl.cnf，将旧API支持的密码套件添加到CipherString字段。

3. 补充Alpine上的.NET SSL依赖 #

Alpine安装.NET 6时，需要确保安装了必要的SSL相关依赖包，在Dockerfile中添加：

RUN apk add --no-cache openssl ca-certificates libssl1.1

4. 切换到SocketsHttpHandler并调整配置 #

.NET在Linux上推荐使用SocketsHttpHandler，可以尝试替换HttpClientHandler：

private static async Task<string> PostSOAPRequestAsync(string url, string text)
{
    var handler = new SocketsHttpHandler
    {
        SslOptions = new SslClientAuthenticationOptions
        {
            RemoteCertificateValidationCallback = (sender, cert, chain, sslPolicyErrors) => true,
            EnabledSslProtocols = SslProtocols.Tls12 | SslProtocols.Tls11 | SslProtocols.Tls
        }
    };
    HttpClient client = new HttpClient(handler);
    // 剩余代码不变
}

5. 抓包分析握手差异 #

在容器内执行抓包，对比WSL成功请求的握手过程，确认TLS版本、密码套件的协商差异：

# 在容器内安装tcpdump
RUN apk add --no-cache tcpdump
# 抓包并保存到文件
tcpdump -i any host url.to.api -w handshake.pcap

用Wireshark打开pcap文件，查看Client Hello和Server Hello阶段的参数，针对性调整代码配置。

6. 设置.NET SSL相关环境变量 #

在Python代码启动前添加环境变量，强制.NET使用宽松的SSL配置：

import os
os.environ["DOTNET_SYSTEM_NET_HTTP_USESOCKETSHTTPHANDLER"] = "0"
os.environ["DOTNET_SYSTEM_SECURITY_CRYPTography_OPENSSL_USELEGACYPROVIDER"] = "1"

from pythonnet import load
load("coreclr")
# 剩余Python代码不变

内容的提问来源于stack exchange，提问作者kai.quinn