如何保证tlsConfig中VerifyPeerCertificate与Accept返回conn的匹配？

问题根源 #

你之前通过全局变量lastRawCert存储客户端证书指纹，再用互斥锁试图同步，但这种方式在并发连接场景下会出现指纹被后续连接覆盖的问题，无法保证指纹与当前conn实例一一对应。

正确方案 #

直接从Accept()返回的tls.Conn实例中提取连接状态里的原始证书数据，计算指纹。每个TLS连接的证书信息都保存在自身的连接状态中，完全无需全局变量和互斥锁。

修改后的代码示例 #

1. TLS配置部分

import (
    "crypto/tls"
    "crypto/x509"
    "log"
    "os"
)

// 提前构建信任的CA证书池（根据实际需求加载CA证书）
trustedCAs := x509.NewCertPool()
caCert, err := os.ReadFile("ca.crt")
if err != nil {
    log.Fatal(err)
}
if !trustedCAs.AppendCertsFromPEM(caCert) {
    log.Fatal("failed to add CA certificate")
}

tlsConfig := &tls.Config{
    // 启用客户端证书验证，要求客户端提供有效证书
    ClientAuth: tls.RequireAndVerifyClientCert,
    // 指定信任的CA池，用于验证客户端证书的有效性
    ClientCAs: trustedCAs,
    VerifyPeerCertificate: func(rawCerts [][]byte, verifiedChains [][]*x509.Certificate) error {
        fmt.Println("3", time.Now())
        if len(rawCerts) == 0 {
            return fmt.Errorf("no client certificate provided")
        }
        // 这里仅保留自定义验证逻辑（如检查证书字段），无需存储指纹
        return nil
    },
}

2. 监听器循环部分

import (
    "fmt"
    "log"
    "time"
)

listener, err := tls.Listen("tcp", ":8080", tlsConfig)
if err != nil {
    log.Fatalf("failed to create TLS listener: %v", err)
}
defer listener.Close()

for {
    fmt.Println("1", time.Now())
    conn, err := listener.Accept()
    if err != nil {
        fmt.Printf("accept error: %v\n", err)
        continue
    }

    // 将连接断言为*tls.Conn类型
    tlsConn, ok := conn.(*tls.Conn)
    if !ok {
        fmt.Println("invalid TLS connection")
        conn.Close()
        continue
    }

    // 获取连接状态，提取客户端证书
    state := tlsConn.ConnectionState()
    var certFingerprint string
    if len(state.PeerCertificates) == 0 {
        fmt.Println("no client certificate provided")
        tlsConn.Close()
        continue
    }
    // 使用证书的Raw字段（原始DER格式数据）计算指纹，和你之前的逻辑一致
    certFingerprint = util.Fingerprint(state.PeerCertificates[0].Raw)

    fmt.Println("2", time.Now(), certFingerprint)
    c := NewConnection(tlsConn, certFingerprint)
    go c.HandleConnection()
}

关键说明 #

• 必须配置客户端证书验证：设置ClientAuth为tls.RequireAndVerifyClientCert（或其他需要客户端证书的模式），否则TLS握手不会要求客户端提供证书，PeerCertificates会为空。
• 必须指定信任CA池：ClientCAs用于验证客户端证书的合法性，否则握手会失败。
• 连接状态的可靠性：Accept()返回的tls.Conn已经完成了TLS握手，此时调用ConnectionState()可以安全获取到客户端证书的原始数据，保证指纹与连接实例完全对应。

内容的提问来源于stack exchange，提问作者Andrew Arrow