C#调用WinSCP访问Amazon S3生产环境证书验证失败问题

问题根因 #

• 桌面版WinSCP测试时使用当前登录用户身份，首次连接S3时你手动确认信任了服务端证书，信任记录仅存储在当前用户的配置中。代码运行时通常使用服务账号（如IIS应用池身份、Windows服务运行账号），该账号无对应证书信任记录，触发校验失败。
• 生产服务器限制出站的规则未覆盖证书验证所需的CRL/OCSP查询地址，导致系统无法在线完成证书有效性校验；也可能是服务器本地受信任根证书列表缺失Amazon S3证书对应的根CA。

解决方案 #

方案1：配置显式证书指纹校验（最推荐，安全合规无需额外出站权限） #

1. 用桌面版WinSCP连接S3，在弹出的证书确认框中复制SHA-256格式的证书指纹。
2. 在代码的SessionOptions配置中新增TlsHostCertificateFingerprint参数，填入复制的指纹即可，修改后的代码片段如下：

SessionOptions sessionOptions = new SessionOptions
{
    Protocol = Protocol.S3,
    HostName = s3HostName,
    UserName = s3UserName,
    Password = s3Password,
    // 替换为你实际获取到的S3服务证书SHA-256指纹
    TlsHostCertificateFingerprint = "xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx"
};

方案2：导入根证书到系统信任列表 #

1. 下载Amazon S3证书对应的根CA证书，导入到生产服务器本地计算机的「受信任的根证书颁发机构」存储中，确保所有服务账号都能读取到信任记录。
2. 在生产出站规则中放行Amazon用于证书验证的CRL、OCSP地址，确保系统可以正常完成证书有效性在线校验。

方案3：临时跳过证书校验（仅用于排查问题，禁止生产环境使用） #

如果需要快速验证是否为证书校验导致的问题，可以临时添加配置跳过所有TLS证书校验，该配置存在中间人攻击风险，不可长期使用：

SessionOptions sessionOptions = new SessionOptions
{
    Protocol = Protocol.S3,
    HostName = s3HostName,
    UserName = s3UserName,
    Password = s3Password,
    GiveUpSecurityAndAcceptAnyTlsHostCertificate = true
};

排查注意事项 #

• 服务器的用户配置、证书存储是按账号隔离的，需使用代码实际运行的服务账号登录服务器做WinSCP测试，测试结果才和代码运行环境一致。

内容的提问来源于stack exchange，提问作者Sankalp Waingankar