如何在.NET的HiveMQTT客户端中传递自签名证书以连接MQTT云代理

看起来你遇到的问题主要是两点：一是自签名证书的TLS验证逻辑默认会拒绝，二是客户端证书（包括私钥）没有正确配置到HiveMQTT的连接选项里。我来帮你调整代码解决这个问题：

1. 正确加载带私钥的客户端证书 #

你的代码里只加载了.pem证书，但没有关联对应的私钥（注释掉了私钥加载的部分）。HiveMQTT客户端需要完整的带私钥的证书才能完成客户端证书认证。如果你的证书和私钥是分开的文件，可以这样加载：

// 读取证书和私钥文件
var certBytes = File.ReadAllBytes("P:\\client1-authnID.pem");
var keyBytes = File.ReadAllBytes("P:\\client1-authnID.key");

// 导入PKCS#8格式的私钥
var rsa = RSA.Create();
rsa.ImportPkcs8PrivateKey(keyBytes, out _);

// 创建包含私钥的X509证书对象
var clientCertificate = new X509Certificate2(certBytes);
clientCertificate = clientCertificate.CopyWithPrivateKey(rsa);
var clientCertCollection = new X509Certificate2Collection(clientCertificate);

如果你的证书是包含私钥的PFX格式，加载会更简单：

var clientCertificate = new X509Certificate2("P:\\client-cert.pfx", "your-cert-password");
var clientCertCollection = new X509Certificate2Collection(clientCertificate);

2. 配置HiveMQTT的TLS选项 #

默认情况下，.NET的TLS验证会拒绝自签名证书，所以我们需要在HiveMQ客户端选项里配置证书集合，并重写证书验证回调来接受自签名证书（生产环境建议添加更严格的验证逻辑）：

var options = new HiveMQClientOptions
{
    Host = "brokerURL", // 替换为你的实际代理地址
    Port = 8883,
    UseTLS = true,
    UserName = "client2-authn-ID",
    TLSOptions = new TLSOptions
    {
        ClientCertificates = clientCertCollection,
        // 自定义证书验证回调，接受自签名证书
        CertificateValidationCallback = (sender, cert, chain, sslPolicyErrors) =>
        {
            // 生产环境请勿直接返回true，建议验证证书的指纹、颁发者等信息
            // 例如：return cert.GetCertHashString() == "你的证书指纹";
            return true;
        }
    }
};

完整修改后的代码 #

这里整合了所有调整，还修复了订阅主题的小问题（你原来的代码里订阅的是用户名，应该替换为实际的主题）：

using HiveMQtt.Client;
using HiveMQtt.Client.Options;
using System.Security.Cryptography;
using System.Security.Cryptography.X509Certificates;
using System.IO;

class Program
{
    static async Task Main(string[] args)
    {
        try
        {
            // 加载客户端证书和私钥
            var certPath = "P:\\client1-authnID.pem";
            var keyPath = "P:\\client1-authnID.key";

            var certBytes = File.ReadAllBytes(certPath);
            var keyBytes = File.ReadAllBytes(keyPath);

            var rsa = RSA.Create();
            rsa.ImportPkcs8PrivateKey(keyBytes, out _);

            var clientCertificate = new X509Certificate2(certBytes);
            clientCertificate = clientCertificate.CopyWithPrivateKey(rsa);
            var clientCertCollection = new X509Certificate2Collection(clientCertificate);

            // 配置HiveMQ客户端选项
            var options = new HiveMQClientOptions
            {
                Host = "brokerURL",
                Port = 8883,
                UseTLS = true,
                UserName = "client2-authn-ID",
                TLSOptions = new TLSOptions
                {
                    ClientCertificates = clientCertCollection,
                    CertificateValidationCallback = (sender, certificate, chain, sslPolicyErrors) =>
                    {
                        // 生产环境请添加严格的证书验证逻辑
                        return true;
                    }
                }
            };

            var client = new HiveMQClient(options);

            // 注册消息接收事件
            client.OnMessageReceived += (sender, args) =>
            {
                Console.WriteLine("Message Received: {0}", args.PublishMessage.PayloadAsString);
            };

            // 连接到代理
            var connectResult = await client.ConnectAsync().ConfigureAwait(false);
            Console.WriteLine($"Connected: {connectResult.ReasonCode}");

            // 订阅实际的主题（替换为你需要的主题）
            var subscribeResult = await client.SubscribeAsync("your/desired/topic");
            Console.WriteLine($"Subscribed: {subscribeResult.ReasonCode}");

            // 保持连接监听消息，按任意键断开
            Console.WriteLine("Press any key to disconnect...");
            Console.ReadLine();

            await client.DisconnectAsync();
            Console.WriteLine("Disconnected");
        }
        catch (Exception ex)
        {
            Console.WriteLine($"Error occurred: {ex.Message}");
        }
    }
}

额外注意事项 #

• 生产环境证书验证：不要直接在生产环境返回true，应该验证证书的指纹、颁发者等信息，或者将自签名证书添加到服务器的受信任根证书存储中，这样就不需要重写验证回调。
• 主题订阅：确保你订阅的是正确的MQTT主题，而不是客户端ID或用户名。
• 权限检查：确认你的云代理已经配置了允许该客户端证书对应的身份进行连接和订阅操作。

备注：内容来源于stack exchange，提问作者hamidacsis