SSL / 证书验证错误，尽管连接字符串中的 TrustServerCertificate=true

Question

首先，请注意我知道这个问题已经被问过好几次了。 但是，到目前为止给出的接受（和不接受）的解决方案在我的情况下不起作用，所以从那时起肯定发生了一些实质性的变化，希望这有理由再次询问。

说了这么多：

我目前正在尝试将 Access 2010.adp 应用程序升级到 Access 2019.accdb。 该应用程序包含大量 VBA 代码，这些代码使用 ADO 对象连接和操作 Microsoft SQL 服务器（当前：2008 R2，但将很快升级）。

我想保留大部分代码，这意味着坚持使用 ADO，所以通往 go 的方法是新的 OleDB SQL 服务器驱动程序（已不推荐使用/2018 年新发布）。 SQL 服务器在我的客户端应用程序之外的另一台机器上运行。

我无法从 VBA 建立到 SQL 服务器的连接。 执行以下代码片段时

Dim cnTemp As Connection
Set cnTemp = New Connection
cnTemp.CursorLocation = adUseServer
cntemp.Open "Provider=MSOLEDBSQL;Server=dbserver.example.com;Initial Catalog=MyDB;Authentication=SqlPassword;User ID=sa;Password=secret;DataTypeCompatibility=80;"

执行最后一行时出现以下错误：

SSL Provider: The certificate chain was issued by an authority which is not trusted.

好的，没问题，毕竟我们发现所有其他问题都处理同一个问题，都提出了相同的解决方案： Add Trust Server Certificate=True; 到连接字符串。

好吧，试过了，但 - 令我惊讶的是 - 仍然是同样的情况。 然后我尝试了其他一些变体，例如TrustServerCertificate=True; 或使用true而不是True ，但无济于事。 我还尝试Use Encryption for Data=True; 这也没有帮助（这是可以预料的）。 此外，我尝试了一些我在研究问题时发现的片段，但微软没有记录这些片段在 ADO 连接字符串中有效（如Encrypt=true或Trusted_Connection=true; ）； 当然，这使情况变得更糟，引发了其他错误消息。

我知道我可以通过将 SQL 服务器证书放入客户端的受信任根证书存储中，或者让 SQL 服务器使用由已知的受信任 CA（例如 Let's Encrypt）颁发的证书来解决该问题。

但是，我非常想知道为什么要添加Trust Server Certificate=true; 到我的连接字符串不会产生错误 go 以及我必须放在那里以禁用证书验证的内容（顺便说一句，如果我们不开始讨论为什么这会不好，我将不胜感激；这是只是在受信任的封闭网络中进行开发和测试，我知道可能存在的风险）。

Answer 1

不遵守连接字符串中的TrustServerCertificate=True的原因是双重的。 一是它不是有效的 ADO 经典 (ADODB) 连接字符串关键字。 根据ActiveX 数据对象 (ADO) 连接字符串关键字文档，关键字/值对应为Trust Server Certificate=True （注意空格）。 关键字在没有空格的情况下被完全忽略，因此不被信任。

但是，由于Authentication-SqlPassword规范，仅此更改不会信任证书。 当指定Authentication关键字时，文档脚注会指出：

为了提高安全性，在使用身份验证/访问令牌初始化属性或其相应的连接字符串关键字时修改了加密和证书验证行为。 有关详细信息，请参阅加密和证书验证链接。

引用的链接包括以下重要说明：

证书验证也可以通过 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\MSSQLServer\Client\SNI18.0\GeneralFlags\Flag2 注册表项的 Value 字段进行控制。 有效值为 0 或 1。OLE DB 驱动程序在注册表和连接属性/关键字设置之间选择最安全的选项。 也就是说，只要注册表/连接设置中的至少一个启用服务器证书验证，驱动程序就会验证服务器证书。

因此，即使使用Trust Server Certificate=True ，当此注册表值设置为 0 时，也会验证证书。

一种解决方案是简单地删除Authentication=SqlPassword规范，只要您不需要不信任服务器证书所提供的改进的安全性：

cntemp.Open "Provider=MSOLEDBSQL;Server=dbserver.example.com;Initial Catalog=MyDB;User ID=sa;Password=secret;Trust Server Certificate=True;DataTypeCompatibility=80;"

Answer 2

首先，我想 state 所有功劳归于@Dan Guzman。 是他的回答/评论提供了解决方案。

但是，我想根据我发布问题后所做的研究添加一些背景知识。

问题是微软的文档显然是错误的。 请查看以下文档：

https://docs.microsoft.com/en-us/sql/connect/oledb/applications/using-connection-string-keywords-with-oledb-driver-for-sql-server?view=sql-server-2017#表 3_1

它位于SQL Server 2017 -> OLE DB -> Applications -> Using connection string keywords with OLE DB Driver for SQL server ，所以它应该是正确的。 它分为三个部分； 在这个问题的上下文中，最后一个表是我们感兴趣的，因为只有这个与 ADO 的连接字符串有关。

最后一个表明确显示Authentication=SqlPawword在 ADO / OLE DB 连接字符串中有效（重新格式化我的，没有改变内容）：

身份验证 SSPROP_AUTH_MODE 指定使用的 SQL 或 Active Directory 身份验证。 有效值为：

(not set) : 由其他关键字决定的认证方式。 ActiveDirectoryPassword ：使用登录 ID 和密码的 Active Directory 身份验证。

ActiveDirectoryIntegrated ：使用当前登录用户的 Windows 帐户凭据对 Active Directory 进行集成身份验证。

注意：建议使用集成安全（或 Trusted_Connection）身份验证关键字或其相应属性的应用程序将身份验证关键字（或其相应属性）的值设置为 ActiveDirectoryIntegrated 以启用新的加密和证书验证行为。

SqlPassword ：使用登录 ID 和密码进行身份验证。

注意：建议使用 SQL 服务器身份验证的应用程序将 Authentication 关键字（或其相应属性）的值设置为 SqlPassword 以启用新的加密和证书验证行为。

它还说（再次格式化我的，没有改变内容）：

信任服务器证书 SSPROP_INIT_TRUST_SERVER_CERTIFICATE 接受字符串“true”和“false”作为值。 默认值为“false”，表示将验证服务器证书。

在Trust Server Certificate=true将禁用证书验证的意义上，每个理性的人都会理解这一点。

但是当你看这里

https://docs.microsoft.com/en-us/sql/relational-databases/native-client/applications/using-connection-string-keywords-with-sql-server-native-client?view=sql-server- 2017

您会注意到该文档的结构与第一个类似，并且最后一个表没有提及Authentication参数。

但是，本文档位于SQL Server 2017 -> Development -> SQL Server Native Client -> Applications -> Using Connection String Keywords 。 这意味着它与我们的案例无关，因为它与 SQL 服务器本机客户端（而不是 OLE DB）有关，但它提供了正确的信息。

因此，我们有提供错误信息的正确文档和提供正确信息的不相关文档。 恭喜微软，你又让我浪费了一整天……

此外，我找到了以下文件：

https://docs.microsoft.com/en-us/sql/connect/oledb/features/using-azure-active-directory?view=sql-server-2017#encryption-and-certificate-validation

阅读标题（“使用 Azure Active Directory”），它应该仅与 Azure 有关。 但是，我怀疑以下部分也与本地 SQL 服务器安装有关（格式化我的，没有更改内容）：

证书验证

为了提高安全性，新的连接属性/关键字尊重 TrustServerCertificate 设置（及其相应的连接字符串关键字/属性），独立于客户端加密设置。 因此，默认情况下会验证服务器证书。

笔记

证书验证也可以通过 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\MSSQLServer\Client\SNI18.0\GeneralFlags\Flag2 注册表项的 Value 字段进行控制。 有效值为 0 或 1。OLE DB 驱动程序在注册表和连接属性/关键字设置之间选择最安全的选项。 也就是说，只要注册表/连接设置中的至少一个启用服务器证书验证，驱动程序就会验证服务器证书。

所以很可能我们还必须更改注册表中的值以最终在通过 ADO / OLE DB 连接到 SQL 服务器时禁用证书验证。