GRPC C++自定义TLS握手实现遇证书链错误求助

一、先确认证书文件本身没问题 #

• 检查证书格式：必须是PEM格式，开头得是-----BEGIN CERTIFICATE-----，结尾是-----END CERTIFICATE-----；如果是证书链，要按叶子证书→中间CA→根CA的顺序排列，别加多余空白或乱码。
• 用openssl验证：执行openssl verify -CAfile root_ca.pem server_chain.pem（针对服务端证书链），或对应客户端证书链的验证命令，确认证书无损坏、签名有效。
• 检查文件权限：Linux下给证书文件加至少读权限（chmod 644 cert_chain.pem），Windows确保当前用户能读取该文件，避免因权限不足读不到内容。

二、排查证书路径配置 #

• 优先用绝对路径：别用相对路径，直接写全路径（比如/home/xxx/certs/server_chain.pem或C:\certs\server_chain.pem），避免程序运行时工作目录不对导致文件找不到。
• 核对路径拼写：文件名、大小写要完全对应（Linux区分大小写，Windows虽不区分但尽量保持一致），别把.pem写成.crt，也别打错文件名。

三、检查TLS凭证配置的代码细节 #

• 服务端配置示例（修正常见坑）：

  grpc::SslServerCredentialsOptions ssl_opts;
  // 确保正确读取证书文件内容，别返回空字符串
  ssl_opts.pem_cert_chain = file_contents("server_chain.pem");
  ssl_opts.pem_private_key = file_contents("server_key.pem");
  ssl_opts.pem_root_certs = file_contents("root_ca.pem"); // 需要客户端认证时添加
  
  // 自定义验证器配置
  auto verifier = std::make_shared<ABCertificateVerifier>();
  grpc::TlsServerCredentialsOptions tls_opts(ssl_opts);
  tls_opts.set_certificate_verifier(verifier);
  // 不需要默认验证逻辑的话，关闭主机检查
  tls_opts.set_check_call_host(false);
  
  auto creds = grpc::TlsServerCredentials(tls_opts);
  

  注意file_contents函数要能正确读取文件内容，避免因读取失败返回空。
• 客户端配置示例：

  grpc::SslCredentialsOptions ssl_opts;
  ssl_opts.pem_root_certs = file_contents("root_ca.pem");
  ssl_opts.pem_cert_chain = file_contents("client_chain.pem"); // 客户端需要证书认证时添加
  ssl_opts.pem_private_key = file_contents("client_key.pem");
  
  auto verifier = std::make_shared<ABCertificateVerifier>();
  grpc::TlsCredentialsOptions tls_opts(ssl_opts);
  tls_opts.set_certificate_verifier(verifier);
  
  auto creds = grpc::TlsCredentials(tls_opts);
  

• 回调函数注册：自定义验证器里的grpc_tls_on_custom_verification_check_done_cb要正确设置，别在回调中抛出异常，避免打乱GRPC的TLS流程。

四、排查自定义验证器的影响 #

• 先禁用自定义验证器：把设置自定义验证器的代码注释掉，用默认TLS配置测试连接。如果不再报这个错误，说明问题出在验证器实现里，比如初始化时误改了证书链配置。
• 检查Verify方法：确保该方法没有错误处理证书链，比如误清空证书内容，导致GRPC无法解析。

五、其他排查点 #

• 核对GRPC版本：不同版本的GRPC TLS API可能有差异，确保你使用的版本和参考的端到端测试代码版本一致。
• 开启GRPC日志：设置环境变量GRPC_VERBOSITY=DEBUG和GRPC_TRACE=tls，运行程序后查看详细日志，里面会有更具体的错误原因，比如文件找不到、格式错误或签名验证失败。

内容的提问来源于stack exchange，提问作者Nolasco Napoleao