IIS 10.0迁移后浏览器未弹出客户端证书提示问题排查求助

• 检查全局配置节覆盖权限：IIS 10默认applicationHost.config中节点的overrideModeDefault属性为Deny，会直接拦截站点web.config中的sslFlags配置使其不生效。打开C:\Windows\System32\inetsrv\config\applicationHost.config，找到<section name="access" overrideModeDefault="Deny" />配置行，将值改为Allow后重启IIS测试。
• 检查功能委派权限：打开IIS管理器根节点→功能委派→找到「SSL设置」项，确认权限为读/写，若为只读则站点级的SSL配置不会生效。
• 检查应用程序池配置：打开对应站点的应用程序池高级设置，将「加载用户配置文件」设置为True，IIS 10默认.NET Core应用池该值为False，会限制证书协商逻辑的触发。
• 检查匿名身份验证配置：选中站点→身份验证→右键点击匿名身份验证选择编辑，确认使用的是应用程序池标识而非特定用户，特定用户身份会限制客户端证书的读取权限。
• 检查HTTPS绑定配置：确认站点HTTPS绑定的「需要服务器名称指示」勾选状态和原IIS 8.5环境完全一致，多域名/通配符证书场景下SNI配置不匹配会导致IIS走默认站点的SSL规则，不触发当前站点的客户端证书协商。
• 清空SSL缓存测试：IIS 10默认开启客户端证书访问缓存，之前无证书的访问记录会导致后续不再触发弹窗，执行命令netsh http delete sslcache清空缓存后再重试。

注：你当前配置的SslNegotiateCert为可选客户端证书，若业务需要强制验证，可以改为Ssl,SslRequireCert，强制要求客户端提交证书，不会出现用户可跳过选择的情况。

内容的提问来源于stack exchange，提问作者godsmustbcrazy