C# Windows环境下如何为TLS 1.2 HttpClient通信选择密码套件

核心结论：CipherSuitesPolicy在Windows平台不生效 #

你测试中用到的CipherSuitesPolicy类，仅在Linux（基于OpenSSL）、macOS（基于Apple TLS）平台下可以正常自定义密码套件，在Windows系统下该配置会被直接忽略。
原因是Windows的TLS通信底层依赖系统自带的Schannel（安全通道）组件，.NET没有开放应用层直接修改Schannel密码套件策略的接口，所以你提供的示例代码在Windows环境下运行时，不会按照你指定的TLS_DHE_RSA_WITH_AES_256_CBC_SHA256套件发起握手，会直接走系统Schannel的默认配置。

Windows环境下指定TLS 1.2密码套件的可行方案 #

• 系统级Schannel配置（官方推荐）
  Windows支持通过组策略、注册表修改全局/用户级别的Schannel密码套件允许列表和优先级，配置完成后所有走系统TLS栈的应用（包括C#开发的HttpClient应用）都会遵循该规则。你只需要确保需要使用的TLS 1.2密码套件在系统允许列表中，且优先级符合预期即可。
• 内嵌独立TLS栈（应用级控制场景）
  如果你的业务要求必须在应用内部独立控制密码套件，不依赖系统全局配置，可以引入内嵌OpenSSL的第三方TLS/HTTP客户端封装，绕开系统默认的Schannel栈，这种场景下就可以和Linux环境一样，在代码层面直接自定义密码套件列表，但会带来额外的包体积和安全更新维护成本。
• 版本注意事项
  截止目前所有正式发布的.NET版本（包括.NET Framework、.NET Core 3.1到.NET 9），均未提供应用层直接配置Schannel密码套件的API，不要尝试通过CipherSuitesPolicy给Windows端TLS连接配置自定义套件，该写法不会产生任何效果。

TLS 1.2基础配置参考 #

配置密码套件前，首先要确保客户端明确启用TLS 1.2协议，参考代码如下：

// 全局默认协议配置
ServicePointManager.SecurityProtocol = SecurityProtocolType.Tls12;

// 单客户端独立配置
var httpHandler = new HttpClientHandler
{
    SslProtocols = SslProtocols.Tls12
};
var httpClient = new HttpClient(httpHandler);

提示：非必要不要强制锁死单一TLS版本，保留系统默认的协议协商能力可以避免和部分服务端握手失败。

内容的提问来源于stack exchange，提问作者programmer