VB6调用.NET DLL发起第三方Web请求出现TLS相关报错问题咨询

该问题的本质是.NET运行时的TLS默认策略随宿主进程环境变化导致的：

• 用.NET测试工具调用时，宿主为托管.NET进程，会读取.NET应用的默认配置、系统.NET全局配置来决定TLS版本
• VB6是非托管COM宿主，.NET DLL加载到VB6进程中时，默认使用当前.NET框架版本的兜底TLS配置，不会继承单独给.NET应用配置的TLS策略。例如.NET Framework 4.0默认仅支持TLS1.0，.NET Framework 4.5~4.7.1版本虽支持TLS1.2但默认不会主动启用，所以会出现请求用低版本TLS被第三方站点拒绝的情况。

• 优先升级.NET DLL的目标框架版本
  直接将DLL的目标框架升级到.NET Framework 4.7.2及以上版本，该版本开始ServicePointManager.SecurityProtocol的默认值为SystemDefault，会自动跟随操作系统的默认TLS配置，无需硬编码指定TLS版本，后续第三方站点升级TLS1.3也无需修改代码。
• 显式配置TLS版本兼容逻辑
  如果暂时无法升级框架，把TLS配置逻辑移到DLL对外暴露的COM类构造函数中，确保所有业务逻辑（包括第三方SDK调用）执行前就完成TLS配置，建议写多版本兼容的代码，不要仅指定TLS1.2：

  // 支持.NET Framework 4.5及以上版本
  ServicePointManager.SecurityProtocol = 
      SecurityProtocolType.Tls12 | 
      SecurityProtocolType.Tls13 | 
      SecurityProtocolType.Tls11 | 
      SecurityProtocolType.Tls;
  

  如果使用的.NET Framework版本低于4.5，没有对应TLS版本的枚举值，可以直接用枚举数值替换：

  ServicePointManager.SecurityProtocol = 
      (SecurityProtocolType)12288 /* TLS1.3 */ |
      (SecurityProtocolType)3072 /* TLS1.2 */ | 
      (SecurityProtocolType)768 /* TLS1.1 */ | 
      (SecurityProtocolType)192 /* TLS1.0 */;
  

• 系统级注册表配置（无需修改代码）
  针对VB6是32位宿主的特性，修改32位.NET运行时的全局配置：
  打开注册表编辑器，定位到路径HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319，新建两个DWORD值：
  • SchUseStrongCrypto 赋值为1
  • SystemDefaultTlsVersions 赋值为1
    32位操作系统无需带WOW6432Node，直接定位到HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319配置即可。该配置会让所有加载到32位进程中的.NET 4.x运行时都启用强加密策略，跟随系统默认TLS版本。
• 第三方SDK适配说明
  之前直接改REST调用生效、SDK调用不生效，是因为SDK内部在你执行TLS配置前就已经初始化了网络请求的ServicePoint配置，把TLS配置移到COM类构造函数最开头执行即可解决该问题。

内容的提问来源于stack exchange，提问作者Ian Boggs