Azure App Service（ASP.NET Core 8）中配置SQL连接信任自签名证书的方案咨询

我完全理解你的困境：在Azure App Service（非应用服务环境ASE）里，你没办法直接将自签名证书添加到受信任根证书存储，而之前找到的HttpClient自定义验证方案又没法直接套用到SqlConnection上。下面给你几个可行的解决方案，按安全性从高到低排序：

方案1：使用SqlClient的自定义证书验证回调（推荐） #

从.NET Core 3.1开始，Microsoft.Data.SqlClient（ASP.NET Core 8推荐使用这个替代旧的System.Data.SqlClient）支持通过SqlConnection的CertificateValidationCallback来自定义证书验证逻辑——这正是你需要的、类似HttpClient的验证方式！

你可以在应用启动时全局注册这个回调，也可以针对单个连接配置。具体实现步骤如下：

步骤1：上传自签名证书到Azure App Service #

1. 登录Azure门户，找到你的目标App Service
2. 进入TLS/SSL设置 > 私有证书（.pfx）（如果是.cer格式的公钥证书，选公共证书）
3. 上传你的自签名SQL Server证书，记住它的指纹（Thumbprint），后续会用到

步骤2：在代码中实现自定义验证逻辑 #

在Program.cs中添加全局验证回调（也可以配置到单个SqlConnection实例）：

using Microsoft.Data.SqlClient;
using System.Security.Cryptography.X509Certificates;

var builder = WebApplication.CreateBuilder(args);

// 从App Service应用设置读取信任的证书指纹（避免硬编码）
var trustedCertThumbprint = builder.Configuration["TrustedSqlCertThumbprint"];

// 全局注册SqlClient证书验证回调
SqlConnection.CertificateValidationCallback += (sender, certificate, chain, sslPolicyErrors) =>
{
    // 开发环境可临时跳过验证（根据自身需求调整）
    if (builder.Environment.IsDevelopment())
    {
        return true;
    }

    // 验证当前SQL返回的证书指纹是否与我们信任的匹配
    if (certificate is not null 
        && certificate.Thumbprint.Equals(trustedCertThumbprint, StringComparison.OrdinalIgnoreCase))
    {
        return true;
    }

    // 其他情况仅当系统默认验证通过时才信任
    return sslPolicyErrors == System.Net.Security.SslPolicyErrors.None;
};

// 配置DbContext时自动使用全局验证逻辑
builder.Services.AddDbContext<YourDbContext>(options =>
    options.UseSqlServer(builder.Configuration.GetConnectionString("YourSqlConnection")));

var app = builder.Build();
// ... 其他中间件配置
app.Run();

方案优势 #

• 无需修改连接字符串，也不需要全局信任所有证书
• 仅信任你指定的自签名证书，安全性高
• 完全适配App Service沙箱环境，绕开对根证书存储的写权限限制

方案2：修改连接字符串启用TrustServerCertificate（快速但有风险） #

如果你只是想快速解决测试环境的问题，可直接在SQL连接字符串中添加TrustServerCertificate=True参数：

Server=tcp:your-sql-server.database.windows.net,1433;Initial Catalog=your-db;Persist Security Info=False;User ID=your-account;Password=your-pass;MultipleActiveResultSets=False;Encrypt=True;TrustServerCertificate=True;Connection Timeout=30;

⚠️ 风险提示：这个参数会让SqlClient信任所有SQL Server返回的证书，包括恶意伪造的证书，生产环境严禁使用，仅适合内部封闭测试场景。

方案3：从App Service证书存储加载证书并对比验证 #

如果你已经把证书上传到App Service的CurrentUser/My存储（就像你代码中做的那样），也可以在验证回调中直接加载证书并对比完整内容，比只对比指纹更安全：

SqlConnection.CertificateValidationCallback += (sender, certificate, chain, sslPolicyErrors) =>
{
    if (builder.Environment.IsDevelopment())
        return true;

    string trustedThumbprint = builder.Configuration["TrustedSqlCertThumbprint"];
    using var certStore = new X509Store(StoreName.My, StoreLocation.CurrentUser);
    certStore.Open(OpenFlags.ReadOnly);
    
    var certCollection = certStore.Certificates.Find(
        X509FindType.FindByThumbprint, 
        trustedThumbprint, 
        validOnly: false);
    
    var trustedCert = certCollection.OfType<X509Certificate2>().FirstOrDefault();

    if (trustedCert is null)
        throw new InvalidOperationException("Trusted SQL certificate not found in App Service store.");

    // 对比证书的完整原始数据，避免指纹伪造风险
    return certificate.RawData.SequenceEqual(trustedCert.RawData);
};

这个方案的优势是证书管理完全通过Azure门户完成，无需硬编码任何证书内容，维护更方便。

为什么你之前的代码无法工作？ #

Azure App Service的沙箱环境严格限制了对StoreName.Root存储的写权限，所以你尝试将证书添加到根存储的代码会直接失败——这也是为什么必须用自定义验证回调的核心原因：绕开对根存储的依赖，直接在应用层完成可信证书的校验。

希望这些方案能帮你解决问题！

内容来源于stack exchange