IIS调用第三方短信Web服务报SSL/TLS安全通道建立错误如何解决

• 确认IIS站点对应应用程序池的.NET框架版本：.NET Framework 4.5及以下版本默认仅启用TLS 1.0协议，当前绝大多数公网Web Service已经停止支持TLS 1.0/1.1，仅兼容TLS 1.2及更高版本。VS调试时默认使用本地开发环境的运行时配置，TLS版本匹配度更高，因此不会出现报错。
• 检查IIS应用程序池运行身份权限：应用程序池默认使用的内置账户（如IIS AppPool\默认应用池）通常没有权限读取本地计算机的根证书存储，无法完成第三方服务SSL证书的合法性校验，会触发安全通道建立失败的错误。
• 校验服务器系统级TLS协议启用状态：打开服务器注册表编辑器，定位到HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols路径，确认TLS 1.2/1.3协议没有被系统级禁用。
• 排查系统根证书更新情况：服务器长期未安装系统更新的情况下，可能缺失第三方服务SSL证书对应的根CA证书，导致校验失败。浏览器能正常访问是因为浏览器自带独立的根证书库，更新频率远高于系统根证书库。

• 代码显式指定安全协议版本：在调用Web Service的逻辑前添加如下代码，强制启用高版本TLS协议：

// 可根据第三方服务实际支持的协议版本调整，优先使用更高版本的TLS
System.Net.ServicePointManager.SecurityProtocol = System.Net.SecurityProtocolType.Tls12 | System.Net.SecurityProtocolType.Tls13;

// 仅测试用：如果确认第三方服务证书合法但校验始终不通过，可临时添加以下代码跳过证书校验，生产环境不推荐使用
System.Net.ServicePointManager.ServerCertificateValidationCallback += (sender, cert, chain, sslPolicyErrors) => true;

• 升级应用程序池.NET框架版本：将站点对应的应用程序池.NET版本升级到4.7.2及以上，该版本起.NET框架会默认继承系统级的TLS协议配置，无需手动在代码中指定。
• 调整应用程序池运行标识：将应用程序池的运行账户修改为LocalSystem或者拥有本地计算机证书存储读取权限的专用账户，排除权限不足问题。
• 手动启用服务器级TLS高版本协议：通过修改注册表或者使用微软官方TLS配置工具，启用系统级的TLS 1.2/1.3支持，修改完成后重启服务器生效。
• 手动导入缺失的根CA证书：从可正常访问该服务的设备上导出第三方服务对应的根CA证书，导入到服务器「受信任的根证书颁发机构」的本地计算机存储中。

内容的提问来源于stack exchange，提问作者Umair Zafar