.NET 7.0连接SQL Server时证书链不受信任错误排查

核心矛盾 #

你的连接字符串包含TrustServerCertificate=yes，但应用运行时仍触发证书链信任错误，而EF脚手架能正常工作，说明连接字符串的参数在应用运行时未被正确识别或覆盖。以下是具体原因和解决步骤：

可能原因及对应方案 #

• 连接字符串拼写或配置读取错误
  检查应用配置文件（如appsettings.json）中的连接字符串，确认TrustServerCertificate=yes没有拼写错误（比如大小写、漏写字符）。有些时候配置文件的连接字符串可能被其他环境的配置（如appsettings.Production.json）覆盖，需逐一核对所有配置源。

• 代码中手动修改了连接参数
  如果代码里使用SqlConnectionStringBuilder重构连接字符串，或者直接设置SqlConnection的相关属性，可能不小心覆盖了TrustServerCertificate的值。比如：

  // 错误示例：覆盖了原有设置
  var builder = new SqlConnectionStringBuilder(connectionString);
  builder.TrustServerCertificate = false; // 这里会覆盖连接字符串里的yes
  

  解决办法：显式在构建器中设置TrustServerCertificate = true，确保参数生效。

• .NET 7 SqlClient的默认加密行为
  .NET 7起，SqlClient默认强制加密连接（Encrypt=Mandatory），如果TrustServerCertificate参数未被正确传递到连接实例，就会触发证书信任错误。可以在代码中直接构建连接字符串，避免隐式配置问题：

  var connStringBuilder = new SqlConnectionStringBuilder
  {
      DataSource = "mysqlserver.com",
      InitialCatalog = "db_database",
      UserID = "db_admin",
      Password = "pass123",
      PersistSecurityInfo = true,
      Encrypt = true,
      TrustServerCertificate = true
  };
  using var conn = new SqlConnection(connStringBuilder.ConnectionString);
  

• 脚手架的特殊处理逻辑
  EF Core的脚手架工具（Scaffold-DbContext）对连接字符串的解析逻辑和应用运行时的SqlClient存在差异，它可能忽略部分严格的证书校验逻辑，因此能成功连接，但不代表应用运行时的配置是正确的。

验证步骤 #

在应用创建数据库连接前，打印出最终使用的连接字符串，确认TrustServerCertificate=yes是否存在：

var connectionString = Configuration.GetConnectionString("YourConnName");
Console.WriteLine(connectionString); // 输出到日志或控制台检查

内容的提问来源于stack exchange，提问作者Fillo