ASP.NET WebForm调用Payone API时无法创建SSL/TLS安全通道问题排查

• 确认ServicePointManager设置时机
  Session_Start()仅在用户首次创建会话时触发，无会话的请求（如后台任务）不会执行该逻辑。建议将配置移至Application_Start()，确保应用启动时全局生效：

  protected void Application_Start(object sender, EventArgs e)
  {
      ServicePointManager.Expect100Continue = true;
      ServicePointManager.SecurityProtocol = SecurityProtocolType.Tls12;
      // 若Payone支持，可追加TLS1.3避免协议不匹配
      // ServicePointManager.SecurityProtocol = SecurityProtocolType.Tls12 | SecurityProtocolType.Tls13;
  }
  

  同时检查是否有第三方库或其他代码覆盖了SecurityProtocol设置。

• 验证服务器证书信任链
  本地正常是因为系统信任Payone的SSL证书，服务器可能缺失根证书或中间证书：

  • 在服务器用浏览器访问Payone API地址，若出现证书警告，手动将对应根证书安装到本地计算机-受信任的根证书颁发机构
  • 用openssl s_client -connect [Payone API域名]:443（需安装OpenSSL）检查证书链是否完整

• 检查应用程序池配置

  • 确认应用程序池的.NET Framework版本为v4.0（对应4.8），「启用32位应用程序」选项与本地开发环境一致
  • 检查应用程序池运行账户是否有权限读取系统SSL/TLS配置、访问证书存储

• 核对TLS 1.2注册表配置
  即使PowerShell显示已启用，仍需确认完整配置：

  • 64位系统：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319，添加SchUseStrongCrypto DWORD值为1
  • 32位应用：HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\.NETFramework\v4.0.30319，添加SchUseStrongCrypto DWORD值为1
  • 系统级TLS设置：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client，确保Enabled为1、DisabledByDefault为0
    修改后需重启服务器或应用程序池生效

• 检查HttpClient的SSL配置
  若使用HttpClient，需明确指定SSL协议：

  var handler = new HttpClientHandler();
  handler.SslProtocols = SslProtocols.Tls12;
  var client = new HttpClient(handler);
  

  同时排查服务器是否有代理拦截请求，代理是否支持TLS1.2

• 捕获详细SSL错误日志
  启用系统SSL日志定位具体原因：

  • 注册表添加HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\EventLogging，设置EventLoggingLevel DWORD值为7
  • 重启服务器后，查看事件查看器的系统日志，筛选来源为Schannel的事件，获取握手失败的具体细节（如证书不匹配、密码套件不兼容等）

内容的提问来源于stack exchange，提问作者Amir Dora.