Win7环境下Selfhosted WebAPI强制使用TLS1.2通信问题咨询

你配置的ServicePointManager.SecurityProtocol仅控制应用出站请求的TLS版本，不会影响HttpSelfHostServer作为服务端接收请求时的TLS协商逻辑——后者底层依赖Windows系统SCHANNEL组件和HTTP.sys驱动的配置，这是配置不生效的核心原因，可按以下步骤修复：

1. 安装Windows7 TLS1.2支持补丁 #

首先确认系统已安装KB3140245更新，这是Windows7支持系统级TLS1.2协商的必备依赖，未安装该补丁时所有基于SCHANNEL的服务端通信默认不会启用TLS1.2。

2. 修改SCHANNEL组件全局配置 #

修改注册表强制SCHANNEL的服务端模式启用TLS1.2、禁用低版本协议：

• 打开注册表编辑器，定位到路径：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols
• 新建TLS 1.2项，在其下再新建Server子项
• 在Server子项中新建两个DWORD值：
  • Enabled 赋值为1
  • DisabledByDefault 赋值为0
• 若要强制禁用TLS1.0、TLS1.1，可在对应协议的Server子项中将Enabled设为0、DisabledByDefault设为1
• 配置完成后重启服务器生效

3. 显式指定HttpSelfHostServer的TLS协商版本 #

在服务启动代码中，给自托管监听器显式指定仅允许TLS1.2协商：

var config = new HttpSelfHostConfiguration("https://localhost:你的服务端口");
// 绑定你的自签名SSL证书
config.ServerCertificate = yourX509Certificate;

// 核心配置：获取监听器实例并指定TLS版本
var listener = config.DependencyResolver
    .GetService(typeof(HttpSelfHostListener)) as HttpSelfHostListener;
if (listener != null)
{
    listener.SslProtocols = System.Security.Authentication.SslProtocols.Tls12;
}

// 后续正常配置路由、启动服务即可
config.Routes.MapHttpRoute(
    name: "DefaultApi",
    routeTemplate: "api/{controller}/{id}",
    defaults: new { id = RouteParameter.Optional }
);
var server = new HttpSelfHostServer(config);
server.OpenAsync().Wait();

4. 端口证书绑定附加TLS限制 #

如果你是通过netsh命令将证书绑定到服务端口，可在绑定时指定仅允许TLS1.2：

1. 先删除原有证书绑定：

netsh http delete sslcert ipport=0.0.0.0:你的服务端口

2. 重新绑定并指定TLS版本：

netsh http add sslcert ipport=0.0.0.0:你的服务端口 certhash=你的证书哈希值 appid={你的应用GUID} sslprotocols=TLS1.2

以上步骤全部配置完成后，Win7环境下的自托管WebAPI就会强制使用TLS1.2进行通信。

内容的提问来源于stack exchange，提问作者john_9559