C#/.NET中为何需通过ServicePointManager显式指定TLS版本？

这个问题问得特别实在——毕竟TLS握手的核心就是协商双方都支持的最高安全协议版本，为啥还要多此一举手动指定呢？我来给你梳理几个关键场景和原因：

• 强制规避不安全的旧协议
  部分老旧的.NET Framework版本（比如4.5及以前）默认会兼容SSL 3.0、TLS 1.0这类早已被淘汰的协议，这些协议存在严重的安全漏洞（比如POODLE、BEAST）。如果不手动限制，万一服务器还没禁用这些旧协议，握手时就可能协商到不安全的版本，把连接暴露在风险中。显式设置ServicePointManager.SecurityProtocol = SecurityProtocolType.Tls12 | SecurityProtocolType.Tls13，就能直接排除所有不安全的协议，确保连接只用安全的版本。

• 解决协商失败的兼容性bug
  有些服务器的TLS配置可能有问题：比如明明支持高版本TLS，但握手时的版本协商逻辑存在bug，导致和客户端的自动协商流程卡壳；或者某些特别老旧的服务器只支持某一特定版本（比如TLS 1.0），而客户端默认的协议列表里已经移除了这个版本。这时候手动指定服务器支持的版本，就能绕过协商的坑，直接建立连接。

• 满足合规或政策要求
  很多企业或行业有严格的安全政策，要求必须使用特定版本的TLS（比如只允许TLS 1.2，禁止TLS 1.3）。显式设置协议版本可以把连接的版本范围锁死在符合要求的区间内，避免因为系统自动更新（比如.NET后续版本默认启用了更高版本协议）而违反政策。

• 适配旧.NET版本的默认行为
  在.NET Framework 4.6之前，默认是不启用TLS 1.2的。如果你要连接的服务器只支持TLS 1.2及以上版本，不手动设置SecurityProtocol的话，客户端甚至不会在握手时提出TLS 1.2的选项，直接导致连接失败。这时候手动设置就是必须的操作。

额外提醒 #

在新版本的.NET（比如.NET Core 3.1+、.NET 5及以后）中，官方推荐尽量让系统自动协商协议版本——这些版本默认已经禁用了所有不安全的旧协议，并且会自动优先使用双方都支持的最高版本。手动设置反而可能限制未来的协议升级（比如TLS 1.4推出后，手动设死版本的话就无法自动适配）。

内容的提问来源于stack exchange，提问作者S.N