.NET 4.7.2应用未遵循SCHANNEL协议设置的原因及外部配置方法

.NET Framework 4.x 的TLS协议协商逻辑默认不会直接完全继承Windows SCHANNEL组件的注册表配置：

• 未做特殊配置的.NET 4.7.2应用，ServicePointManager.SecurityProtocol默认会硬编码启用TLS 1.0、TLS 1.1、TLS 1.2三个协议，直接绕过你在SCHANNEL中配置的客户端协议禁用规则，这是浏览器（直接调用SCHANNEL默认逻辑）和.NET应用检测结果不一致的直接原因。
• 检测结果中TLS 1.2后带*标记，代表框架虽然将TLS 1.2加入了协商列表，但受配置冲突影响，协议协商优先级异常，实际连接可能回退到旧版TLS协议，并未正常使用TLS 1.2建立连接。

所有配置均在操作系统层面完成，不需要调整应用代码：

1. 配置.NET Framework全局继承系统TLS配置
   打开注册表编辑器，定位到以下路径：
   • 64位系统全局配置：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319
   • 32位应用兼容配置（64位系统必须同时配置）：HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\.NETFramework\v4.0.30319
     在上述两个路径下新建DWORD（32位）值，名称为SystemDefaultTlsVersions，数值数据设为1，基数选十六进制；再新建同名DWORD值SchUseStrongCrypto，数值数据设为1。
     该配置的作用是强制所有基于.NET Framework 4.x的应用直接使用Windows SCHANNEL组件的协议配置，不再使用框架内置的硬编码协议列表。
2. 校验SCHANNEL协议配置
   确认SCHANNEL下的协议配置完整：
   • TLS 1.0/1.1的Client、Server节点下，Enabled值为0，DisabledByDefault值为1
   • TLS 1.2的Client、Server节点下，Enabled值为1，DisabledByDefault值为0
     注意注册表路径要使用CurrentControlSet分支，不要使用其他控制集分支，避免配置不生效。
3. 排查全局配置覆盖问题
   检查.NET全局配置目录下的machine.config、web.config文件（64位路径为C:\Windows\Microsoft.NET\Framework64\v4.0.30319\Config\，32位路径为Framework目录下对应位置），确认文件中没有硬编码securityProtocol属性的配置项覆盖全局设置。
4. 排查组策略/环境变量开关
   确认系统中没有开启DontEnableSystemDefaultTlsVersions兼容开关，这类开关会强制.NET回退到旧的硬编码协议列表逻辑，忽略系统TLS配置。

所有配置完成后重启服务器，再运行.NET控制台应用测试，检测结果将和浏览器完全一致：TLS 1.0、TLS 1.1显示为No，TLS 1.2显示为Yes且无*标记，出站连接将正常使用TLS 1.2协商。

内容的提问来源于stack exchange，提问作者cdonner