.NET Core 3.1调用第三方WCF服务SSL连接失败如何解决？

1. 优先排查WCF客户端绑定配置 #

大部分此类问题都是全局SecurityProtocol配置不生效导致：.NET Core中ServicePointManager.SecurityProtocol的全局配置对WCF的BasicHttpsBinding/CustomBinding不生效，必须单独为绑定指定SSL协议版本，示例配置如下：

// 以BasicHttpsBinding为例
var binding = new BasicHttpsBinding(BasicHttpsSecurityMode.Transport);
binding.Security.Transport.ClientCredentialType = HttpClientCredentialType.None;
// 按需指定匹配服务端的协议版本，可先配置为Tls12|Tls13覆盖主流场景
binding.Security.Transport.SslProtocols = System.Security.Authentication.SslProtocols.Tls12 
                                        | System.Security.Authentication.SslProtocols.Tls13;

如果第三方服务已强制切换为TLS1.3，注意.NET Core 3.1对TLS1.3的支持存在缺陷，建议升级到.NET 6及以上版本解决。

2. 证书验证逻辑排查 #

• 确认第三方服务SSL证书是否近期更新：如果服务端新证书的根证书/中间证书未被部署环境的信任证书存储收录，会导致验证失败直接断连
• 若为测试环境可临时跳过证书验证确认问题，生产环境建议导入证书到信任存储：

client.ClientCredentials.ServiceCertificate.SslCertificateAuthentication = 
new X509ServiceCertificateAuthentication()
{
    CertificateValidationMode = X509CertificateValidationMode.None,
    RevocationMode = X509RevocationMode.NoCheck
};

• 检查是否开启了证书吊销检查：若服务端证书的吊销地址无法访问，也会触发验证失败，可先关闭吊销排查。

3. 运行环境与网络排查 #

• Linux部署环境请检查OpenSSL版本：OpenSSL 1.0.x版本默认不支持多数TLS1.2以上的新加密套件，需升级到OpenSSL 1.1.x及以上版本
• 排查网络链路规则：确认部署环境的防火墙、代理、WAF没有拦截到第三方服务的出站请求，没有篡改TLS握手包
• 用curl -v https://第三方服务地址?wsdl在部署环境执行，若curl也报错则问题和代码无关，优先排查环境网络/证书信任问题，若curl正常则重点排查WCF客户端配置。

内容的提问来源于stack exchange，提问作者user3671390