为何设置Encrypt=true时，trustServerCertificate=false仍连接失败？

Question

在使用SQL Server连接字符串时，设置`Encrypt=true`但`trustServerCertificate=false`却导致连接失败，这通常是因为客户端无法验证服务器证书的有效性。当`Encrypt=true`时，客户端与服务器之间的通信将被加密，而`trustServerCertificate=false`表示客户端不会自动信任服务器提供的自签名证书，而是通过CA（证书颁发机构）验证其合法性。 如果服务器使用的证书不是由受信任的CA签发，或者证书链配置不正确，客户端将拒绝连接。此外，DNS名称与证书中的公用名（CN）或SAN（Subject Alternative Name）不匹配也会导致验证失败。解决此问题的方法包括：确保服务器使用有效的CA证书、正确配置证书链，或在开发和测试环境中临时将`trustServerCertificate`设置为`true`以绕过严格验证。不过，生产环境中应避免使用`trustServerCertificate=true`，以保证通信安全。

Answer 1

1. 问题概述

在使用SQL Server连接字符串时，如果设置了Encrypt=true但trustServerCertificate=false，可能会导致连接失败。这一问题通常与服务器证书的有效性验证有关。

当启用加密通信（Encrypt=true）时，客户端会尝试验证服务器提供的SSL/TLS证书。如果trustServerCertificate=false，客户端将严格检查证书是否由受信任的CA签发，并确保其配置正确。若证书存在问题（如自签名、链不完整或DNS名称不匹配），连接将被拒绝。

2. 常见技术问题分析

以下是可能导致连接失败的具体原因：

• 证书未由受信任的CA签发： 如果服务器使用的是自签名证书，客户端无法验证其合法性。
• 证书链配置错误： 即使证书由CA签发，但如果中间证书缺失或顺序错误，客户端仍无法完成验证。
• DNS名称不匹配： 客户端会检查服务器域名是否与证书中的公用名（CN）或SAN字段一致。如果不匹配，验证将失败。

3. 解决方案详解

为解决上述问题，可以采取以下步骤：

1. 确保服务器使用有效的CA证书： 购买并安装由受信任CA签发的证书，替换现有的自签名证书。
2. 正确配置证书链： 确保所有必要的中间证书已安装，并按正确的顺序排列。
3. 检查DNS名称匹配： 确认服务器域名与证书中的CN或SAN字段完全一致。
4. 临时设置trustServerCertificate=true： 在开发和测试环境中，可将此参数设为true以绕过严格验证。但生产环境中应避免使用。

4. 示例代码

以下是一个典型的SQL Server连接字符串示例：

        Server=myServerAddress;Database=myDataBase;User Id=myUsername;Password=myPassword;Encrypt=True;TrustServerCertificate=False;
    

如果需要临时绕过证书验证，可以修改为：

        Server=myServerAddress;Database=myDataBase;User Id=myUsername;Password=myPassword;Encrypt=True;TrustServerCertificate=True;
    

5. 流程图

以下是解决该问题的流程图：

flowchart TD
            A[连接失败] --> B{是否启用Encrypt=true}
            B --是--> C{是否启用TrustServerCertificate=false}
            C --是--> D[检查服务器证书]
            D --> E{证书是否由CA签发}
            E --否--> F[更换为有效CA证书]
            E --是--> G{证书链是否正确}
            G --否--> H[修复证书链配置]
            G --是--> I{DNS名称是否匹配}
            I --否--> J[修正DNS名称]
            I --是--> K[连接成功]