使用MailKit发信部署为Windows服务时抛出SslHandshakeException异常

你现有代码中使用smtp.gmail.com 587端口+SecureSocketOptions.StartTls的配置是gmail SMTP服务的标准配置，本身没有问题。两种运行场景结果不一致的核心原因是：直接运行exe使用的是当前登录用户的运行上下文，而Windows服务默认使用Local System、Network Service等内置服务账户，两者的证书信任存储、TLS版本策略、网络代理配置、防火墙权限都是独立的。

• 验证账户上下文影响：打开Windows服务管理界面，找到你部署的服务，右键属性切换到「登录」选项卡，选择「此账户」，填写你手动运行exe时使用的Windows用户名和密码，保存后重启服务测试。如果发信恢复正常，说明问题出在服务默认账户的配置限制上，可继续后续针对性排查。
• 强制指定高版本TLS协议：gmail的SMTP服务仅支持TLS 1.2及以上版本，内置服务账户可能默认未启用高版本TLS，你可以在调用smtp.Connect之前添加代码指定TLS版本：

// 强制使用TLS1.2及以上版本
System.Net.ServicePointManager.SecurityProtocol = System.Net.SecurityProtocolType.Tls12 | System.Net.SecurityProtocolType.Tls13;

• 排查证书信任问题：服务账户的受信任根证书存储和当前用户的存储相互独立，你可以先添加临时证书验证回调定位问题，在Connect方法执行前添加如下代码：

smtp.ServerCertificateValidationCallback = (sender, certificate, chain, sslPolicyErrors) =>
{
    // 仅用于测试定位问题，生产环境禁止直接返回true，需严格校验证书有效性
    return sslPolicyErrors == System.Net.Security.SslPolicyErrors.None;
};

如果测试仍报错，说明服务账户的根证书存储缺少gmail对应的根CA证书，你需要将Google Global CA根证书导入到服务账户的「受信任的根证书颁发机构」存储，或者导入到本地计算机的根证书存储供所有账户使用。

• 排查网络权限配置：
  • 当前用户的系统代理配置不会自动继承给服务账户，如果你的网络环境需要走代理访问外网，需要单独给服务账户配置代理，或者在代码中为SmtpClient指定代理参数。
  • 检查系统防火墙规则，确认服务运行账户有权限对外访问smtp.gmail.com的587端口，可在代码中添加日志先测试端口连通性，排除网络层面的拦截。

内容的提问来源于stack exchange，提问作者Jan