Windows 7下.NET 5.0应用SSL连接异常问题求助

应用信息 #

核心代码 #

var httpClientHandler = new HttpClientHandler
{
    SslProtocols = SslProtocols.Tls12,
    ServerCertificateCustomValidationCallback = (message, cert, chain, errors) => { return true; },
};

var httpClient = new HttpClient(httpClientHandler)
{
    BaseAddress = new Uri("https://api.myservice.com:4443"),
    Timeout = TimeSpan.FromSeconds(10),
};

var credentials = Convert.ToBase64String(Encoding.ASCII.GetBytes($"USER1:PASS1"));
httpClient.DefaultRequestHeaders.Add("Authorization", $"Basic {credentials}");

var result = await httpClient.PostAsync("/login", null);

项目配置（MyApp.csproj） #

<PropertyGroup Condition="'$(Configuration)'=='Release' And '$(TargetFramework)'=='net5.0-windows' And '$(RuntimeIdentifier)'=='win-x86'">
    <OutputPath>..\..\release\</OutputPath>
    <AssemblyName>my-app</AssemblyName>
    <AppendTargetFrameworkToOutputPath>false</AppendTargetFrameworkToOutputPath>
    <AppendRuntimeIdentifierToOutputPath>false</AppendRuntimeIdentifierToOutputPath>
</PropertyGroup>

运行环境 #

• my-app.exe是基于.NET 5.0的x86程序集
• 已安装.NET 5.0 x86和x64运行时
• 已安装.NET Framework 4.8
• 已安装KB3033929、KB3063858和KB3140245补丁
• 目标服务https://api.myservice.com:4443支持TLS 1.2

异常情况 #

应用在Windows 10 x64上运行正常，但在Windows 7 SP1 x64上抛出异常：

The SSL connection could not be established, see inner exception.

且内部异常为空。

已尝试的操作 #

已添加以下注册表项，但问题仍未解决：

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client]
"DisabledByDefault"=dword:00000000
"Enabled"=dword:00000001

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319]
"SystemDefaultTlsVersions"=dword:00000001
"SchUseStrongCrypto"=dword:00000001

[HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319]
"SystemDefaultTlsVersions"=dword:00000001
"SchUseStrongCrypto"=dword:00000001

排查与解决方案 #

1. 补全Windows 7 SP1的TLS 1.2支持补丁 #

已安装的补丁不足以完整支持TLS 1.2，需补充安装以下补丁：

• KB3154518：修复.NET应用与TLS 1.2的兼容性问题
• KB3172605：更新Schannel组件，完善TLS 1.2握手逻辑
• KB4474419：添加SHA-2代码签名支持（部分服务要求客户端验证SHA-2证书）

2. 验证.NET 5.0 x86运行时完整性 #

重新下载并安装.NET 5.0 x86桌面运行时，确保安装包无损坏，安装完成后重启系统。

3. 调整HttpClientHandler配置 #

在代码中补充系统层面的TLS协议设置，并添加额外调试配置：

// 在创建HttpClientHandler前添加
System.Net.ServicePointManager.SecurityProtocol = System.Net.SecurityProtocolType.Tls12;

var httpClientHandler = new HttpClientHandler
{
    SslProtocols = SslProtocols.Tls12,
    ServerCertificateCustomValidationCallback = (message, cert, chain, errors) => { return true; },
    // 禁用自动重定向，避免跨协议跳转干扰
    AllowAutoRedirect = false,
    // 启用日志记录（需引用System.Diagnostics）
    UseCookies = false,
};

4. 导入目标服务根证书 #

Windows 7默认缺少部分新型根证书，手动导入服务根证书到本地证书存储：

1. 用浏览器访问https://api.myservice.com:4443，导出站点的根证书
2. 运行mmc，添加「证书」管理单元，将证书导入到「本地计算机」→「受信任根证书颁发机构」（同时检查32位和64位证书存储）

5. 启用SSL调试日志 #

通过环境变量生成详细调试日志，定位具体失败环节：

set DOTNET_SYSTEM_NET_HTTP_SOCKETSHTTPHANDLER_DEBUGLOG=1
set DOTNET_SYSTEM_NET_HTTP_SOCKETSHTTPHANDLER_DEBUGLOGPATH=C:\temp\ssl-debug.log
my-app.exe

查看日志文件中的握手细节、证书验证信息，确定失败根源。

6. 确认注册表项生效 #

打开注册表编辑器，验证以下项的数值是否正确，且已重启系统：

• HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client下的DisabledByDefault为0，Enabled为1
• WOW6432Node下的.NET Framework注册表项数值正确

内容的提问来源于stack exchange，提问作者geek175