pyodbc连接SQL Server报SSL安全错误 服务器无TLS如何排查解决

这个[Microsoft][ODBC SQL Server Driver][DBNETLIB]SSL Security error报错核心是驱动与服务端TLS协议不匹配：你当前调用的是Windows系统自带的legacy版SQL Server ODBC驱动，这个驱动发布时间早，默认仅支持SSL 3.0、TLS 1.0这类已经被淘汰的不安全加密协议，而当前绝大多数数据库服务器默认已经禁用了上述低版本协议，加密握手直接失败就会抛出这个错误。
你提到注册表里找不到TLS配置项不是服务器没装TLS，是Windows默认不会在SCHANNEL路径下预置手动配置的TLS项，需要的时候可以自行新建，不用怀疑系统组件缺失。

方案1：升级ODBC驱动（零注册表修改，最稳妥） #

这是最推荐的方案，不需要动系统配置，从根源解决协议兼容问题：

• 安装微软官方发布的新版ODBC Driver 18 for SQL Server，该版本原生支持TLS 1.2/1.3，适配当前所有主流SQL Server版本的加密要求。
• 安装完成后修改连接串里的驱动字段，同时修正你原代码里无效的超时配置，修改后的代码片段如下：

params = urllib.parse.quote_plus(r'Driver=ODBC Driver 18 for SQL Server;Server=tcp:redacted,1433;Database=redacted;Encrypt=yes;TrustServerCertificate=no;Connection Timeout=30;')
conn_str = 'mssql+pyodbc:///?odbc_connect={}'.format(params)
engine_azure = create_engine(conn_str,echo=True)
conn = engine_azure.connect()

• 注意原代码里Connection Timeout=0不会实现无限等待，部分驱动版本下反而会直接触发连接超时，常规场景设置为30秒即可。如果测试时遇到证书链不信任的报错，可以临时把TrustServerCertificate改为yes验证连通性，生产环境务必换回no并给数据库配置受信任的正式证书。

方案2：手动配置SCHANNEL启用TLS 1.2（无法升级驱动时使用） #

如果环境有严格限制无法安装新驱动，再通过修改注册表开启TLS 1.2支持，不要开启TLS 1.0/SSL 3.0，这类低版本协议存在公开可利用的安全漏洞：

• 打开注册表编辑器，定位到路径Computer\HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols
• 在Protocols项下新建名为TLS 1.2的项（注意TLS和1.2之间有空格，不要写错名称），在TLS 1.2项下再新建两个子项，分别命名为Client、Server
• 选中Client项，新建两个32位DWORD值：
  • 名称为Enabled，数值设为1
  • 名称为DisabledByDefault，数值设为0
• 如果当前服务器同时运行SQL Server服务，对Server子项做完全相同的DWORD值配置
• 配置完成后重启服务器，原有旧驱动即可通过TLS 1.2完成加密握手。

方案3：临时关闭连接加密（仅本地测试可用） #

如果只是临时验证连接逻辑，不需要加密传输，可以直接把连接串里的Encrypt=yes改为Encrypt=no，连接时不会走TLS/SSL加密通道，自然不会触发加密握手错误。注意这个模式下所有传输内容包括账号密码都是明文，绝对不能在生产环境使用。

• 不要随意修改SCHANNEL下的SSL相关配置，Windows默认已经禁用SSL 2.0/3.0，强行开启会让服务器暴露在POODLE等已知漏洞的攻击风险下。
• 安装完新ODBC驱动后，可以打开系统ODBC数据源管理器，在「驱动」tab下确认驱动名称和你连接串里写的完全一致（注意空格和版本号），名称不匹配会触发「找不到驱动」的报错。

内容的提问来源于stack exchange，提问作者BlakeB9