本地IIS调用Azure托管API时出现SSL连接建立失败问题

• 检查本地IIS服务器的出站SSL协议支持
  即便代码中指定了SslProtocols.Tls12，系统层面可能未启用对应协议的出站支持。通过注册表确认：
  定位到路径 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols，确保TLS 1.2的Client子项中，Enabled值设为1，DisabledByDefault值设为0。

• 验证目标API的证书链完整性
  浏览器能正常访问不代表IIS服务器能信任该证书链。在IIS服务器上执行命令 certutil -urlfetch -verify <你的API域名>，检查是否存在缺失的中间证书。若有缺失，将对应的中间证书导入服务器的受信任的根证书颁发机构或中间证书颁发机构存储。

• 排除代理设置干扰
  本地IIS可能默认走代理，但代码未配置相关参数。可在HttpClientHandler中显式禁用代理或指定正确代理：

  HttpClientHandler clientHandler = new HttpClientHandler();
  // 禁用代理
  clientHandler.UseProxy = false;
  // 若需使用代理则替换为实际地址
  // clientHandler.Proxy = new WebProxy("http://proxy-address:port");
  clientHandler.ServerCertificateCustomValidationCallback += (sender, cert, chain, sslPolicyErrors) => true;
  clientHandler.SslProtocols = SslProtocols.Tls12;
  HttpClient client = new HttpClient(clientHandler);
  

• 确认API请求的完整性

  1. 检查apiUrl是否为完整的HTTPS地址，无拼写、空格或大小写错误；
  2. 部分Azure服务会拦截缺少规范请求头的请求，可添加User-Agent头：

  client.DefaultRequestHeaders.UserAgent.ParseAdd("Mozilla/5.0 (Windows NT 10.0; Win64; x64)");
  

• 排查IIS应用程序池权限
  应用程序池的运行账户可能缺少出站网络权限或SSL证书存储访问权限。临时将应用程序池身份改为LocalSystem测试，若问题解决，再调整为受限账户并赋予必要权限。

内容的提问来源于stack exchange，提问作者AGuyCalledGerald