使用RestSharp调用第三方API时出现could not create ssl/tls secure channel错误

使用RestSharp调用第三方API时，出现错误：could not create ssl/tls secure channel，但使用Postman配置相同的端点、证书等参数时，请求可正常完成。

已尝试的无效方案 #

• 强制设置安全协议为TLS1.2：ServicePointManager.SecurityProtocol = SecurityProtocolType.Tls12;
• 关闭证书验证，包括以下几种写法：
  • ServicePointManager.ServerCertificateValidationCallback = delegate { return true; };
  • client.RemoteCertificateValidationCallback = (sender, certificate, chain, sslPolicyErrors) => true;

抓包分析 #

通过Wireshark抓包发现：连接流程完成了Client Hello和Server Hello，但在Certificate Request、Server Hello Done阶段终止，收到带ACK的RST包。同时Postman抓包也出现相同的错误信息，但请求最终成功。

调用代码 #

ServicePointManager.Expect100Continue = true;
ServicePointManager.SecurityProtocol = SecurityProtocolType.Tls12 | SecurityProtocolType.Tls11;
ServicePointManager.ServerCertificateValidationCallback += (sender, certificateReturn, chainReturn, sslPolicyErrors) => true;

var client = new RestClient(api);
client.Timeout = -1;

//Add Certificate
X509Certificate2 cert = null;
if (GCONTABANCO.SelectCERTIFICADO(IDCONTABANCO, ref cert, ref MSG) == false) { return false; }
client.ClientCertificates = new X509CertificateCollection();
client.ClientCertificates.Add(cert);
var request = new RestRequest(Method.POST);
request.AddHeader("Accept", "application/json");
request.AddHeader("Content-Type", "application/x-www-form-urlencoded");
request.AddParameter("grant_type", "client_credentials");
request.AddParameter("client_id", clientId);
request.AddParameter("client_secret", clientSecret);
request.AddParameter("scope", "extrato.read boleto-cobranca.read boleto-cobranca.write");
IRestResponse response = client.Execute(request);

当前环境 #

• .NET Framework版本：4.5.2（尝试升级到4.7后错误依旧，因系统规模庞大无法继续升级）
• Windows版本：21H1(10.0.19043)
• 相同代码调用其他API正常，无目标服务器的访问权限

解决思路 #

1. 检查证书链完整性
   确认加载的X509Certificate2对象包含完整的证书链（根证书+中间证书）。Postman会自动补充缺失的证书链，而.NET代码如果仅加载客户端证书本身，可能导致TLS握手失败。可以将相关证书导入本地计算机的「受信任的根证书颁发机构」或「中级证书颁发机构」存储，也可以在代码中手动构建完整证书链。

2. 调整TLS相关配置

• 单独指定TLS1.2协议，避免同时启用TLS1.1导致服务器选择不兼容的协议：

  ServicePointManager.SecurityProtocol = SecurityProtocolType.Tls12;
  

• 尝试禁用Expect100Continue，部分服务器对该头的处理存在兼容性问题：

  ServicePointManager.Expect100Continue = false;
  

3. 验证证书私钥可用性
   通过cert.HasPrivateKey检查证书是否包含可访问的私钥，同时确保运行程序的用户拥有读取私钥的权限。若缺少私钥，需重新导入证书并勾选「导出私钥」选项，或调整证书的权限设置。

4. 更新RestSharp版本
   确保使用的RestSharp版本是支持.NET Framework 4.5.2的最新稳定版，旧版本可能存在TLS握手的兼容性缺陷。

5. 检查系统TLS全局配置
   打开「Internet选项」→「高级」标签，确认Windows系统已启用TLS 1.2，且Schannel相关加密组件未被组策略禁用。

6. 启用TLS跟踪日志
   在app.config中添加以下配置，生成详细的网络日志，从中查找TLS握手失败的具体原因：

<system.diagnostics>
    <sources>
        <source name="System.Net" tracemode="includehex" maxdatasize="1024">
            <listeners>
                <add name="System.Net"/>
            </listeners>
        </source>
        <source name="System.Net.Sockets">
            <listeners>
                <add name="System.Net"/>
            </listeners>
        </source>
        <source name="System.Net.Cache">
            <listeners>
                <add name="System.Net"/>
            </listeners>
        </source>
    </sources>
    <sharedListeners>
        <add name="System.Net"
             type="System.Diagnostics.TextWriterTraceListener"
             initializeData="network.log"
        />
    </sharedListeners>
    <switches>
        <add name="System.Net" value="Verbose"/>
        <add name="System.Net.Sockets" value="Verbose"/>
        <add name="System.Net.Cache" value="Verbose"/>
    </switches>
</system.diagnostics>

运行程序后查看生成的network.log，定位TLS握手阶段的错误细节。

内容的提问来源于stack exchange，提问作者Renan Yamao