特定客户端通过SSL调用C# Web API时返回403 Forbidden错误排查

非证书类高频诱因 #

这类情况占90%以上的同类问题概率，优先排查：

• 自定义请求头丢失：你可以先在自定义AuthorizeAttribute中增加日志，输出所有收到的HTTPS请求头，确认该客户端的请求是否确实携带了约定的API Key头。常见的头丢失原因有三个：
  1. 客户端使用的HTTP库在HTTPS重定向场景下会默认清除自定义头，非HTTPS请求无该限制
  2. 客户端所在网络部署了SSL解密中间人代理，代理规则过滤了非标准自定义请求头，非HTTPS请求未被代理拦截所以正常传输
  3. 你写的授权逻辑是大小写精确匹配请求头名称，部分HTTPS客户端会自动将自定义头转为全小写/全大写，导致匹配失败
• IP限制拦截：检查IIS站点的IP限制规则，是否误将该客户端的出口IP加到了拒绝访问列表中，非HTTPS站点可能没有配置相同的IP限制规则，所以访问正常。

证书相关可能诱因 #

你怀疑的证书问题确实有可能触发403，对应场景如下：

• IIS开启了强制客户端证书校验：查看站点SSL设置中是否勾选了「需要客户端证书」选项，如果开启，未配置合法客户端证书的请求会直接返回403.7子状态码。你本地测试时可能默认携带了可信客户端证书，其余业务客户端也提前完成了证书配置，所以只有该客户端报错。
• 客户端证书校验失败：如果该客户端确实上传了客户端证书，但证书不在IIS的信任列表中、证书已过期或者证书链不完整，会返回403.16子状态码。
• TLS版本兼容问题：如果IIS站点仅允许TLS 1.2及以上版本访问，该客户端的HTTP库默认使用TLS 1.0/1.1版本，部分老旧系统的TLS实现存在握手后请求内容篡改的bug，会导致API Key解析失败返回403。

快速定位步骤 #

1. 首先查看IIS访问日志中该403请求的子状态码：
   • 子状态码为0：请求已经到达你的自定义授权逻辑，是授权校验失败导致，重点排查请求头是否丢失、API Key是否正确
   • 子状态码为7/16：明确是客户端证书相关问题，调整IIS客户端证书配置即可
   • 子状态码为5：是IP限制规则拦截，调整IP白名单即可
2. 让该客户端用curl -v [HTTPS接口地址] -H "API Key头: 对应密钥"的方式模拟请求，直接查看请求发送阶段是否正确携带了API Key头、SSL握手是否有异常。

内容的提问来源于stack exchange，提问作者Gary