使用证书和密钥的Rust reqwest请求未通过授权问题排查

1. 先确认证书/密钥格式匹配Python的用法 #

• 检查私钥格式：Identity::from_pkcs8_pem要求私钥是PKCS#8格式（开头是-----BEGIN PRIVATE KEY-----），如果Python用的是PKCS#1格式（-----BEGIN RSA PRIVATE KEY-----），Rust这边虽不会直接报错，但认证会失败。用OpenSSL转格式：

  openssl pkcs8 -topk8 -inform PEM -in your_rsa_key.pem -outform PEM -nocrypt -out pkcs8_key.pem
  

• 检查证书链完整性：如果Python用的是包含中间证书的完整链，而Rust只传了叶子证书，也会导致认证失败。确认你的cert变量里包含从叶子到根CA的所有证书。

2. 开TLS调试日志，抓包对比差异 #

• 启用Rust客户端的TLS调试日志，看握手过程的细节：
  在Cargo.toml加日志依赖：

  log = "0.4"
  env_logger = "0.10"
  

  代码开头初始化日志：

  env_logger::Builder::from_env(env_logger::Env::default().default_filter_or("hyper=debug,rustls=debug")).init();
  

  运行程序后会输出TLS握手的详细日志，排查是否有证书验证、密钥交换的错误。
• 用Wireshark或tcpdump抓包，对比Python和Rust的TLS握手流程，重点看客户端发的证书是否一致，有没有警告/错误包。

3. 强制指定TLS版本和加密套件 #

• 有些API服务器只支持特定TLS版本（比如TLS 1.2）或加密套件，Python的默认配置可能和Rust的reqwest/hyper-tls不同。试试自定义TLS配置：

  use rustls::{ClientConfig, RootCertStore, protocol::Version};
  use reqwest::{Client, tls::{Certificate, PrivateKey}};
  
  // 构建根证书存储
  let mut root_store = RootCertStore::empty();
  root_store.add_server_trust_anchors(webpki_roots::TLS_SERVER_ROOTS.0.iter().map(|ta| {
      rustls::OwnedTrustAnchor::from_subject_spki_name_constraints(ta.subject, ta.spki, ta.name_constraints)
  }));
  
  // 配置TLS参数
  let mut config = ClientConfig::builder()
      .with_safe_defaults()
      .with_root_certificates(root_store)
      .with_no_client_auth();
  // 强制用TLS 1.2
  config.versions = vec![Version::TLS12];
  
  // 加载证书和密钥
  let cert_der = Certificate::from_pem(&cert).unwrap();
  let key_der = PrivateKey::from_pem(&key).unwrap();
  config.set_single_client_cert(vec![cert_der], key_der).unwrap();
  
  // 用自定义配置构建客户端
  let client = Client::builder()
      .default_headers(self.headers.clone())
      .use_preconfigured_tls(config)
      .build().unwrap();
  

4. 验证Identity加载是否真的没问题 #

• 别用unwrap()跳过错误，改成expect()打印详细信息，确认加载过程没隐性问题：

  let ident = Identity::from_pkcs8_pem(&cert, &key)
      .expect("加载证书/密钥失败，检查文件格式和内容");
  

• 可以导出加载后的证书和密钥到临时文件，用OpenSSL验证有效性：

  fs::write("temp_cert.pem", ident.cert_chain().first().unwrap().as_ref()).unwrap();
  fs::write("temp_key.pem", ident.private_key().as_ref()).unwrap();
  

  然后执行：

  openssl x509 -in temp_cert.pem -text -noout  # 检查证书内容
  openssl rsa -in temp_key.pem -check          # 验证密钥有效性
  

5. 排查请求的其他细节 #

• 对比查询参数的序列化：Rust的query()方法对数组等类型的编码可能和Python不同（比如?key=1&key=2 vs ?key=1,2），打印最终请求URL，和Python的请求URL做对比。
• 去掉GET请求的Content-Type头：GET请求一般不需要这个头，有些服务器会对不必要的头产生误解，试试删掉再测试。

内容的提问来源于stack exchange，提问作者thhappy