VS2019中.NET Core5.0添加WCF服务报SSL/TLS安全通道错误怎么办

报错根因 #

两个SSL相关报错本质是两类问题：

• 添加服务引用阶段的SSL通道创建失败：VS2019默认的服务发现组件未启用兼容的TLS协议版本，无法和服务端完成SSL握手
• 本地WSDL生成引用后调用报信任关系错误：.NET Core运行时不会自动读取传统web.config中的WCF绑定配置，同时默认对证书链不完整、域名不匹配、自签名的服务端证书会直接拦截请求。

分步解决 #

1. 服务引用生成阶段处理 #

两种方案选其一即可：

• 方案一：修改VS配置支持TLS握手
  找到VS安装路径下的Common7\IDE\devenv.exe.config文件，在<configuration>节点下新增TLS兼容配置：

  <runtime>
    <AppContextSwitchOverrides value="Switch.System.Net.DontEnableSystemDefaultTlsVersions=false"/>
  </runtime>
  

  重启VS后即可正常通过在线WSDL地址添加服务引用。
• 方案二：直接用已经下载到本地的WSDL文件生成服务引用，该方式生成的客户端代码和在线引用完全一致，不影响后续调用。

2. 调用阶段SSL信任问题处理 #

安全提示：以下跳过证书校验的逻辑仅适用于测试环境、内部自签名证书服务场景，生产环境请将服务端证书安装到客户端「受信任的根证书颁发机构」存储，移除跳过校验的逻辑
在WCF客户端初始化代码执行前，添加全局TLS与证书配置：

// 按需启用和服务端匹配的TLS版本，旧服务一般用TLS1.0/1.1/1.2，新服务可追加Tls13
ServicePointManager.SecurityProtocol = SecurityProtocolType.Tls12 
    | SecurityProtocolType.Tls11 
    | SecurityProtocolType.Tls;
// 测试环境自签名证书临时跳过信任校验
ServicePointManager.ServerCertificateValidationCallback = 
    (_, _, _, _) => true;

3. 等价替换原MVC项目customBinding配置 #

.NET Core/5+ 项目没有web.config的WCF配置节，所有绑定逻辑通过代码实现，和原web.config中customBinding的节点一一对应即可，通用HTTPS WCF绑定写法如下：

// 初始化自定义绑定，对应web.config <customBinding>节点
var customBinding = new CustomBinding();
// 添加消息编码元素，对应<textMessageEncoding>节点，按服务实际SOAP版本修改MessageVersion
var encodingElement = new TextMessageEncodingBindingElement
{
    MessageVersion = MessageVersion.Soap11,
    ReadEncoding = System.Text.Encoding.UTF8,
    WriteEncoding = System.Text.Encoding.UTF8
};
customBinding.Elements.Add(encodingElement);
// 添加HTTPS传输元素，对应<httpsTransport>节点，参数和原web.config配置保持一致即可
var transportElement = new HttpsTransportBindingElement
{
    MaxReceivedMessageSize = 2147483647,
    MaxBufferSize = 2147483647,
    AuthenticationScheme = System.Net.AuthenticationSchemes.Anonymous,
    RequireClientCertificate = false
};
customBinding.Elements.Add(transportElement);
// 用自定义绑定初始化客户端，替换成本地生成的WCF客户端类名、实际服务地址
var client = new XxxPartnerConnectionClient(
    customBinding, 
    new EndpointAddress("https://ws-xxxxxx/xxxrtnerConnection")
);

如果原customBinding配置了超时、安全模式、代理等其他参数，直接给对应BindingElement的同名属性赋值即可，参数规则和web.config完全一致。如果服务需要身份认证，直接给client.ClientCredentials下对应的属性传参即可：

• Windows账号认证：给client.ClientCredentials.Windows.ClientCredential赋值用户名、密码、域信息
• 客户端证书认证：给client.ClientCredentials.ClientCertificate.Certificate赋值本地加载的客户端证书对象
• 用户名密码认证：给client.ClientCredentials.UserName.UserName和Password赋值即可

内容的提问来源于stack exchange，提问作者Rakesh