如何为Bull.js与Redis服务器的连接实现完整而非部分TLS保护

你当前用的Bull.js TLS配置仅设置了servername，只能防范窃听，无法抵御中间人攻击——因为这种配置只验证客户端主机名，中间人只要知晓Redis主机域名，就能用任意CA证书发起攻击。

要实现完整的TLS保护（包含根CA证书验证、双向证书认证），Bull.js底层依赖ioredis，所以可以直接沿用ioredis的所有TLS配置选项，具体配置示例如下：

const fs = require('fs');
const Queue = require('bull');

const someQueue = new Queue("someQueue", {
  redis: {
    host: process.env.REDIS_HOST,
    port: process.env.REDIS_PORT,
    password: process.env.REDIS_PASS,
    tls: {
      servername: process.env.REDIS_HOST,
      // 加载信任的根CA证书，用于验证服务器身份
      ca: fs.readFileSync('/path/to/your/root-ca.pem'),
      // 客户端证书（仅当Redis要求双向TLS认证时需要）
      cert: fs.readFileSync('/path/to/your/client-certificate.pem'),
      // 客户端私钥（与客户端证书配对）
      key: fs.readFileSync('/path/to/your/client-private-key.pem'),
      // 强制验证服务器证书，拒绝未通过验证的连接
      rejectUnauthorized: true
    },
  },
});

关键配置项说明： #

• ca：指定信任的根CA证书文件路径，确保客户端只接受由该CA签发的服务器证书，从根源上阻止中间人伪造证书发起攻击。
• cert和key：如果你的Redis服务器配置了双向TLS认证（要求客户端提供身份证书），必须添加这两个选项，对应客户端的证书和私钥文件。
• rejectUnauthorized：默认值为true，显式设置可以确保一旦服务器证书不匹配、过期或不被信任，连接会直接被拒绝，避免不安全的连接。

Bull.js的Redis配置完全兼容ioredis的参数，所有ioredis支持的TLS配置选项都可以直接在这里使用，你可以根据Redis服务器的实际TLS要求调整参数。

内容的提问来源于stack exchange，提问作者jurijus01