.NET 4.0 Excel插件TLS 1.2连接故障复现及修复咨询

问题背景 #

我使用C#开发了一款Excel插件，用于对接托管在Azure App Service上的网站，该Azure应用服务的TLS配置如下：

插件通过如下代码逻辑从Web应用侧下载内容：

public static string HttpPost(string URI, string Parameters)
{
    System.Net.WebRequest req = System.Net.WebRequest.Create(URI);
    req.Proxy = GetProxyForConnection();
    // POST请求基础配置
    req.ContentType = "application/json";
    req.Method = "POST";
    // 计算请求体字节长度
    byte[] bytes = System.Text.Encoding.ASCII.GetBytes(Parameters);
    req.ContentLength = bytes.Length;
    System.IO.Stream os = req.GetRequestStream();
    os.Write(bytes, 0, bytes.Length);
    os.Close();
    System.Net.WebResponse resp = req.GetResponse();
    if (resp == null) return null;
    System.IO.StreamReader sr = new System.IO.StreamReader(resp.GetResponseStream());
    return sr.ReadToEnd().Trim();
}

上述实现在多数设备上均可正常运行，但有一名客户的环境仅支持TLS 1.2连接，客户反馈内容如下：

我司IT安全团队遵循微软官方建议，已在全环境中移除TLS 1.1支持。

本次需要解决三个问题：

• 如何复现该环境下的连接故障
• 如何将开发环境配置为仅使用TLS 1.2
• 该问题的可行修复思路有哪些

备注：该Excel插件基于.NET Framework 4.0开发。

问题解答 #

一、连接故障复现方法 #

• 系统级真实复现：打开测试机注册表编辑器，定位到路径HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols，分别新建TLS 1.0、TLS 1.1两个项，每个项下再新建Client子项，在Client子项中创建DWORD类型值Enabled，数值设为0，重启系统后运行插件，即可复现TLS握手失败的连接故障。
• 轻量代码复现：无需修改系统配置，在测试代码的HTTP请求发起前，强制指定客户端仅使用TLS 1.0/1.1协议发起连接，即可触发与服务端的TLS版本不匹配错误，快速复现问题。

二、开发环境配置为仅使用TLS 1.2的方法 #

• 系统层面配置：和上述复现步骤的注册表操作逻辑一致，禁用TLS 1.0、TLS 1.1的客户端支持，仅保留TLS 1.2项的Enabled值设为1即可。
• 代码层面配置：.NET Framework 4.0的SecurityProtocolType枚举未原生定义Tls12字段，直接使用TLS 1.2对应的枚举值3072，在所有HTTP请求发起前添加如下配置，即可让当前进程内的WebRequest请求默认走TLS 1.2：

  ServicePointManager.SecurityProtocol = (SecurityProtocolType)3072;
  

• 本地调试配置：如果使用IIS承载本地测试站点，需要在IIS站点绑定设置中勾选启用TLS 1.2，取消其他低版本TLS协议的勾选。

三、可行修复思路 #

• 快速兼容修复：无需升级项目框架，直接在插件启动入口（如VSTO的ThisAddIn_Startup方法）添加全局安全协议配置，注意不要硬编码锁定单一TLS版本，要叠加兼容后续更高版本的TLS协议，避免后续TLS 1.3普及后再次出现兼容问题，.NET 4.0环境下参考写法：

  // 叠加开启TLS 1.2(对应值3072)、TLS 1.3(对应值12288)，不覆盖系统原有默认协议配置
  ServicePointManager.SecurityProtocol |= (SecurityProtocolType)3072 | (SecurityProtocolType)12288;
  

  配置完成后，客户端会自动和服务端协商双方共同支持的最高版本TLS协议，不会再出现版本不匹配的连接错误。
• 长期优化方案：如果后续有版本迭代空间，建议将项目目标框架升级到.NET Framework 4.6.2及以上版本，从该版本开始，.NET默认会自动继承系统层面的TLS协议配置，不需要手动编写代码指定安全协议，后续TLS版本迭代时无需修改业务代码，维护成本更低。
• 服务端配置校验：确认Azure App Service的最低TLS版本设置为1.2，关闭TLS 1.0、TLS 1.1的公开访问支持，既匹配客户的安全合规要求，也能规避低版本TLS协议带来的安全风险。
• 异常容错补充：在HTTP请求逻辑中增加TLS握手类异常的专属捕获，出现该类问题时弹出明确的环境配置提示，避免直接抛出未处理异常导致插件崩溃，也能降低后续同类问题的排查成本。

内容的提问来源于stack exchange，提问作者JamesP