Windows IIS环境下StackExchange.Redis连接Redis证书校验失败问题求助

排查方向1：证书存储与应用池权限配置 #

• 确认通过MMC导入企业根证书、中间证书时，选择的是本地计算机（Local Computer） 存储区，而非当前用户（Current User）存储区。IIS应用池默认运行身份不会读取当前登录用户的证书列表。
• 检查IIS应用池高级设置中的「加载用户配置文件」选项是否为True，如果证书是导入到特定用户的存储区，该选项关闭会导致应用无法读取对应证书。
• 若使用自定义应用池运行身份，需要给该身份授予证书私钥读取权限：
  1. 打开MMC证书管理单元（本地计算机），找到导入的根证书，右键选择「所有任务」-「管理私钥」
  2. 添加IIS应用池运行身份（格式为IIS AppPool\你的应用池名称），仅授予「读取」权限即可。

排查方向2：CRL校验问题 #

企业内部证书通常未配置公网可访问的CRL（证书吊销列表）地址，Windows默认会进行CRL校验，校验失败时会标记证书无效：

• 临时修改Redis连接配置，添加CheckCertificateRevocation=false参数验证问题，若连接成功则说明是CRL校验导致的故障，可选择两种修复方案：
  1. 配置企业内部CRL地址到证书中，并确保IIS服务器可正常访问该地址
  2. 确认业务场景不需要CRL校验的前提下，保留CheckCertificateRevocation=false参数即可
• 注：Another Redis Desktop Manager、本地测试的TestRedis.exe可能默认关闭了CRL校验，因此不会触发该报错。

排查方向3：应用配置差异校验 #

• 对比本地TestRedis.exe和IIS部署应用的Redis连接配置，重点检查以下参数是否完全一致：
  • ssl参数是否都开启
  • sslhost参数是否和Redis服务端证书的CN/SAN字段完全匹配
  • 是否有自定义的CertificateValidation回调逻辑遗漏在IIS部署的应用中
• 可添加临时调试日志获取具体证书错误信息，示例代码：

using System.Net;
using System.Security.Cryptography.X509Certificates;
using StackExchange.Redis;

// 在Redis连接初始化前添加以下逻辑
ConfigurationOptions redisConfig = /* 你的原有Redis连接配置 */;
redisConfig.CertificateValidation += (sender, cert, chain, sslPolicyErrors) =>
{
    // 将错误信息写入本地日志文件，注意日志目录要给IIS应用池身份授予写入权限
    string logContent = $"SSL错误类型：{sslPolicyErrors}\n" +
                        $"服务端证书主题：{cert.Subject}\n" +
                        $"证书链错误信息：{string.Join("|", chain.ChainStatus.Select(s => s.StatusInformation))}";
    File.WriteAllText(@"C:\temp\redis-cert-error.log", logContent);
    return sslPolicyErrors == SslPolicyErrors.None;
};

排查方向4：TLS版本匹配校验 #

• 检查IIS应用的.NET运行时版本，.NET Framework 4.5及以下版本默认不会启用TLS1.2，若Redis服务端要求TLS1.2及以上版本，需要在应用启动入口（如Global.asax的Application_Start方法）添加配置：

ServicePointManager.SecurityProtocol = SecurityProtocolType.Tls12 | SecurityProtocolType.Tls13;

• 也可通过修改Windows注册表配置服务器全局默认TLS版本，无需修改代码。

内容的提问来源于stack exchange，提问作者Markus Dillickrath