使用Entity Framework从App Engine连接Cloud SQL时遇RemoteCertificateValidationCallback异常

核心原因分析 #

EF Core 7.0.0 默认依赖的 Microsoft.Data.SqlClient 版本较EF Core 6.0.1有显著更新，新版本对SSL证书验证逻辑做了严格调整，导致原有的TrustServerCertificate=True配置不再能绕过部分证书校验场景，尤其是在Google Cloud SQL强制SSL连接的环境下。

安全合规的解决方案 #

1. 使用Google Cloud SQL官方SSL证书进行验证 #

放弃依赖TrustServerCertificate跳过验证，改用Cloud SQL提供的客户端证书完成合法验证：

• 从Google Cloud Console下载对应SQL实例的SSL证书包（包含server-ca.pem、client-cert.pem、client-key.pem）
• 将证书文件添加到项目中，设置属性为复制到输出目录
• 在代码中配置SqlConnection的SSL参数：

  var connectionString = "Server=10.123.456.789;Database=development;User Id=myuser;Password=mysecretpassword;Encrypt=True";
  using var conn = new SqlConnection(connectionString);
  conn.SslSettings = new SqlSslSettings
  {
      RootCertificate = new X509Certificate2("server-ca.pem"),
      Certificate = new X509Certificate2("client-cert.pem"),
      PrivateKey = new X509Certificate2("client-key.pem")
  };
  // 后续使用conn初始化DbContext
  

2. 启用Cloud SQL Auth Proxy（GAE部署推荐） #

通过Auth Proxy自动处理SSL连接和证书管理，无需手动配置证书：

• 在app.yaml中配置Cloud SQL实例连接：

  runtime: dotnet7
  env_variables:
    CONFIGURATION_CONTEXT: "Server=127.0.0.1,1433;Database=development;User Id=myuser;Password=mysecretpassword"
  beta_settings:
    cloud_sql_instances: "your-gcp-project:your-region:your-sql-instance=tcp:1433"
  

• Auth Proxy会在GAE实例与Cloud SQL之间建立加密通道，自动完成证书验证，无需额外代码配置。

3. 修正连接字符串参数 #

确认连接字符串中显式指定加密配置，匹配EF Core 7.0的默认行为：

• 确保包含Encrypt=True（EF Core 7.0中Microsoft.Data.SqlClient默认Encrypt值已改为Mandatory，显式指定可避免歧义）
• 若暂时需要保留TrustServerCertificate=True，需确保与Encrypt=True同时存在，部分场景下缺失Encrypt会导致验证逻辑异常。

4. 确认环境根证书信任链 #

检查GAE运行环境是否信任Google Cloud SQL证书的签发根证书：

• Cloud SQL的服务器证书由Google信任根签发，正常情况下GAE环境已包含这些根证书，但部分自定义运行环境可能缺失。可手动导入Google的根证书（如GlobalSign Root CA）到项目或环境中。

内容的提问来源于stack exchange，提问作者user2141352