Azure VM部署C#调用Invoice Ninja API遇SSL/TLS安全通道创建失败问题

看起来你遇到的问题是特定Azure VM环境下的SSL/TLS配置问题——毕竟其他VM能正常运行，本地也没问题，其他API调用也正常，说明代码逻辑本身没问题，问题出在这台VM的系统层面配置上。下面是几个针对性的排查和解决方向：

1. 检查VM的TLS协议与密码套件支持 #

Invoice Ninja的服务器大概率只支持TLS 1.2及以上版本，你虽然在代码里设置了SecurityProtocol，但如果VM系统层面没有启用对应的TLS协议或密码套件，还是会握手失败。

• 用PowerShell查看当前VM启用的TLS密码套件：

  Get-TlsCipherSuite
  

• 对比能正常运行的VM的套件列表，确保问题VM启用了Invoice Ninja服务器要求的套件（比如TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384这类常见的安全套件）。
• 可以用工具IISCrypto（微软推荐的配置工具）来可视化配置TLS协议和密码套件，确保TLS 1.2/1.3启用，禁用过时的SSL3、TLS1.0/1.1。

2. 确认Invoice Ninja的根CA证书已被VM信任 #

有时候VM的本地根证书存储里缺少Invoice Ninja SSL证书对应的根CA，导致系统无法验证服务器证书，进而拒绝建立连接：

1. 在问题VM上打开Edge浏览器，访问https://app.invoiceninja.com
2. 点击地址栏的锁图标 → 查看证书 → 证书路径
3. 找到最顶层的根CA证书，右键选择“复制到文件”，导出为Base64编码的CER文件
4. 打开certmgr.msc，导航到本地计算机 → 受信任的根证书颁发机构 → 证书
5. 右键导入刚才导出的CER文件，完成后重启你的应用再测试

3. 排查VM的防火墙或代理限制 #

虽然其他API能正常调用，但不排除这台VM的防火墙或代理规则对app.invoiceninja.com有特殊限制：

• 直接在VM上用PowerShell测试API调用：

  $headers = @{"X-Ninja-Token"="[你的TOKEN]"}
  Invoke-WebRequest -Uri "https://app.invoiceninja.com/api/v1/payments" -Headers $headers
  

  如果这个命令也失败，说明是系统层面的网络限制，需要检查Windows防火墙的出站规则，或者VM所在的Azure网络安全组（NSG）是否允许HTTPS访问该域名。
• 如果VM使用了代理服务器，确认代理允许访问app.invoiceninja.com，并且代理的SSL证书也被信任。

4. 检查.NET Framework的补丁与版本 #

如果你使用的是较旧的.NET Framework版本（比如4.5或4.5.1），默认是不支持TLS 1.2的，即使你在代码里设置了SecurityProtocol也没用：

• 确认VM上安装的.NET Framework版本，建议升级到4.7.2及以上，它默认支持TLS 1.2。
• 如果无法升级，需要安装对应的TLS 1.2补丁（比如针对.NET 4.5的KB3154518补丁），并确保系统注册表中启用了TLS 1.2的相关项。

代码优化建议（生产环境注意） #

你当前的代码里跳过了证书验证（ServerCertificateValidationCallback = delegate { return true; }），这在生产环境是不安全的，建议在问题解决后移除这行代码，确保证书能被正常验证。另外可以简化SecurityProtocol的设置，只保留必要的版本：

ServicePointManager.SecurityProtocol = SecurityProtocolType.Tls12 | SecurityProtocolType.Tls13;

内容的提问来源于stack exchange，提问作者JFrancinilla