.NET6升级.NET7后EF Core连接SQL Server证书信任异常排查

可能遗漏的关键配置与检查点 #

• 连接字符串参数有效性验证
  确认参数拼写与取值完全正确：必须同时设置TrustServerCertificate=True和Encrypt=Optional（针对无证书或自签名证书场景，避免用Encrypt=Yes，因为.NET7 SqlClient默认强制加密，Optional更适配非生产环境的宽松加密要求）。同时检查是否存在代码层面的连接字符串覆盖——比如在Program.cs或DbContext的OnConfiguring方法中，硬编码了连接参数，导致appsettings.json的配置未生效。

• SQL Server端强制加密配置
  登录SQL Server配置管理器，查看「SQL Server网络配置」→「MSSQLSERVER的协议」→「属性」，确认FORCE ENCRYPTION是否设为ON。如果是强制加密，即使客户端设置Encrypt=Optional也会触发加密流程，此时要么将自签名证书导入到IIS服务器的本地计算机受信任根证书存储，要么确保TrustServerCertificate=True参数被正确解析（注意参数顺序不影响，但需完整包含在连接字符串中）。

• IIS应用池身份权限
  当使用Trusted_Connection=True（Windows身份验证）时，应用池的运行身份可能无法访问SQL Server证书或完成验证。尝试临时将应用池身份改为LocalSystem测试，若问题解决，再为原应用池身份配置证书读取权限，或确认该账户在SQL Server中的登录权限。

• 环境变量与配置优先级冲突
  检查IIS站点的「高级设置」→「环境变量」，是否存在ConnectionStrings__[你的连接字符串名称]这类环境变量，其值未包含正确的加密参数。.NET的配置优先级中，环境变量高于appsettings.json，会覆盖文件中的配置。

• EF Core上下文的额外配置干扰
  检查DbContext的配置代码，比如UseSqlServer方法是否添加了可能影响连接的扩展（如EnableRetryOnFailure），确保连接字符串是完整传递的，没有通过代码额外指定加密相关参数。示例正确配置：

  builder.Services.AddDbContext<YourDbContext>(options =>
      options.UseSqlServer(builder.Configuration.GetConnectionString("DefaultConnection")));
  

• 自签名证书的存储位置
  若使用自签名证书，需将其导入到IIS服务器的本地计算机账户的「受信任的根证书颁发机构」，而非当前用户的证书存储。因为IIS应用池运行在系统或服务账户下，无法读取当前用户的证书库。可通过MMC控制台添加「证书」管理单元完成导入。

内容的提问来源于stack exchange，提问作者Ivan-Mark Debono