访问不同站点时出现不一致的 SSL 错误

Question

这不是“为什么我的代码不通过 HTTPS 下载”问题之一。 几年前我已经看过并阅读了所有这些，从那时起，我已经成功地多次实施了相同的方法。

我针对 4.7.1 框架并在 4.7.2 框架上运行的非常简单的 C# 代码尝试通过 HTTPS 下载资源。 它遵循有关配置ServicePointManager 、 WebClient和WebRequest所有众所周知的建议。 最初，我在我们的 LAN 上使用 Apache 2.4.20 实例对其进行了测试，并且运行良好。 接下来，我在公共 Internet 上的其他几台服务器上对其进行了测试，在发出请求后大约 5 秒我遇到了错误，即使该页面立即在浏览器中打开：

{"The request was aborted: Could not create SSL/TLS secure channel."}

我检查了服务器证书。 它们受到 Mozilla 和 Windows 的信任，并以完全信任的模式在我知道的任何浏览器中打开。 这些站点通过 TLS 1.2 进行响应。 服务器或其证书没有明显错误。 为了进行完整性检查，我使用了 Google 的主页地址https://www.google.ca/?gws_rd=ssl ，它打开得很好。 有些网站打开，有些网站没有。 我尝试一次启用一个 TLS 版本，并且每个版本在每个工作站点上都运行良好，而它们都不适用于非工作站点。

这是我的代码。 它被编写为与基本身份验证一起使用，但也没有它进行测试。 这不是身份验证问题。

ServicePointManager.Expect100Continue = true;
ServicePointManager.DefaultConnectionLimit = 9999;
ServicePointManager.SecurityProtocol = SecurityProtocolType.Tls12 | SecurityProtocolType.Tls11; // | SecurityProtocolType.Tls | SecurityProtocolType.Ssl3; // tested by enabling only 1 protocol at a time locally. Each worked.

if (ServicePointManager.ServerCertificateValidationCallback == null) // for testing only
{
    ServicePointManager.ServerCertificateValidationCallback += (se, cert, chain, sslerror) => { return true; };
}

using (var client = new WebClientEx()) // Ex adds Timeout and CookieContainer
{
    client.CachePolicy = new System.Net.Cache.RequestCachePolicy(System.Net.Cache.RequestCacheLevel.BypassCache);
    client.Headers.Add("Cache-Control", "no-cache");
    client.Encoding = Encoding.UTF8;

    var cc = new CredentialCache();
    // Using one or the other, depending on the situation, or none
    //cc.Add(url, "Basic", new NetworkCredential(user, pass));
    //cc.Add(new Uri(url.GetLeftPart(UriPartial.Authority)), "Digest", new NetworkCredential(user, pass));
    client.Credentials = cc;

    return client.DownloadData(url);
}

在回到WebClient之前，我尝试使用普通的HttpRequest以确保其可靠的超时，这对我的实现很重要：

var req = (HttpWebRequest)WebRequest.Create(url);
req.Timeout = (int)timeout.TotalMilliseconds;
req.AutomaticDecompression = DecompressionMethods.GZip | DecompressionMethods.Deflate; // tried with or w/o

var encoded = Convert.ToBase64String(Encoding.GetEncoding("ISO-8859-1").GetBytes($"{user}:{pass}"));
req.Headers.Add("Authorization", "Basic " + encoded); // tried with or w/o

var credentialCache = new CredentialCache();
credentialCache.Add(url, "Basic", new NetworkCredential(user, pass)); // tried with or w/o
req.Credentials = credentialCache;
req.PreAuthenticate = true; // tried with or w/o
using (var response = (HttpWebResponse)req.GetResponse())
{
    using (var ms = new MemoryStream())
    {
        response.GetResponseStream().CopyTo(ms);
        return ms.ToArray();
    }
}

我的代码的两个变体同样适用于我的本地 Apache 和 Google，但不适用于其他一些站点。 我的代码找不到任何错误。 无法正常工作的站点之一是https://jigsaw.w3.org/HTTP/Basic/ ，它可以在任何浏览器中正常打开。 这是我们的大多数软件用于单元测试的站点，因此我希望在测试阶段和任何生产中的任意 Web 服务器都可以使用它。

我打开System.Net跟踪并比较成功和失败的下载尝试，区别在于一个继续握手，而另一个立即失败。 跟踪中没有有用的信息。

任何想法有什么不对？

这个问题中提到的所有服务和技术都超出了我的控制范围，必须保持它们目前的状态。 我无法更改任何版本或安装任何更新。 它必须按照目前的方式工作。 如果您对此不满意，请跳至其他问题。

Answer 1

答案是“代码没有问题”。 我必须测试的那些精选服务器实际上出了点问题。 它们是旧的或小众的，并且它们不符合 .NET 框架拒绝与它们互操作的程度。 一旦我使用现代的、兼容的服务器进行测试，一切都按预期工作，无论是通过 HTTP 还是 HTTPS 以及基本或摘要式身份验证。