如何配置MongoDB客户端兼容无认证与X509认证服务器

需求可行性结论 #

你的需求完全可行，当前报错是因为客户端配置存在关键错误，修正后即可用同一连接配置同时连接已启用X509认证和未启用认证的MongoDB服务器。

报错原因 #

报错AuthenticationFailed: No verified subject name available from client的核心原因：

• X509认证依赖TLS连接传递客户端证书，你在客户端配置中设置了ssl: false，导致客户端未建立TLS连接，服务器无法接收并解析客户端证书的主题名（Subject Name），自然无法完成X509认证。
• 额外问题：tlsInsecure: 'true'传入了字符串类型，PHP MongoDB驱动要求该选项为布尔值true，字符串可能导致配置不生效。

修正后的客户端配置 #

将客户端配置中的ssl: false改为ssl: true，并修正tlsInsecure的类型：

$server = 'mongodb://mongoserver1:27017/';
$options = [
    'authMechanism' => 'MONGODB-X509',
    'username' => 'C=US,ST=DC,L=DC,O=NO,OU=CLIENT,CN=user1',
    'authSource' => '$external',
    'ssl' => true, // 必须开启SSL/TLS，否则无法传递客户端证书
    'tlsCertificateKeyFile' => '/etc/ssl/certs/user1.pem',
    'tlsCAFile' => '/etc/ssl/certs/CA.pem',
    'tlsInsecure' => true // 改为布尔值，而非字符串
];
$driverOptions = [];
$database = 'test';

$client = new MongoDB\Client($server, $options, $driverOptions);
$db = $client->selectDatabase($database);

服务器端配置验证 #

你的服务器端配置net.tls.mode: preferTLS + allowConnectionsWithoutCertificates: true完全符合过渡需求：

• preferTLS允许客户端选择是否使用TLS连接，兼容未配置TLS的旧客户端；
• allowConnectionsWithoutCertificates允许未携带证书的客户端建立TLS连接，同时也支持携带证书的客户端完成X509认证；
• 对于未启用security.authorization的服务器，即使客户端发送了X509认证信息，服务器会忽略认证步骤，直接允许访问，不会影响连接。

额外过渡方案（针对极端场景） #

如果部分老版本MongoDB服务器不支持TLS，导致开启ssl: true的客户端无法连接，可在代码中添加异常捕获逻辑，自动降级到无认证配置：

try {
    // 优先尝试X509认证配置
    $client = new MongoDB\Client($server, $options, $driverOptions);
    $db = $client->selectDatabase($database);
} catch (MongoDB\Driver\Exception\AuthenticationException $e) {
    // 认证失败时，切换到无认证配置
    $noAuthOptions = [
        'ssl' => false,
        'authMechanism' => null,
        'username' => null,
        'authSource' => null
    ];
    $client = new MongoDB\Client($server, $noAuthOptions, $driverOptions);
    $db = $client->selectDatabase($database);
}

内容的提问来源于stack exchange，提问作者TryHarder