Grpc+RoadRunner+mTLS环境下证书动态续期是否需重启插件的咨询

核心结论 #

• 默认状态下，RoadRunner启动时会将mTLS证书一次性加载至内存，证书续期后必须重启RoadRunner服务或重载对应gRPC插件才能让新证书生效——官方目前没有内置证书自动刷新的机制，现有文档也未提及相关原生支持。
• 想要实现无需重启/重载自动识别新证书，需要通过自定义方案来达成。

可行的自定义实现思路 #

• 文件监听触发插件重载：利用操作系统的文件监听工具（比如Linux的inotify）监控证书文件的变更，当检测到证书更新时，自动执行RoadRunner的插件重载命令rr reload grpc。这种方式仅重载目标gRPC插件，不会重启整个服务，对业务的影响极小。
• 自定义插件实现证书热加载：如果基于Go开发自定义RoadRunner插件，可以在插件逻辑中加入定时检查证书文件修改时间的逻辑，或者监听文件变更事件，一旦发现证书更新就重新加载TLS配置并替换当前上下文。这需要对RoadRunner插件开发有一定基础。
• 反向代理层接管证书管理：在RoadRunner前端部署反向代理（如Nginx），由代理层负责mTLS握手和证书续期管理。多数反向代理工具支持证书热重载（比如Nginx执行nginx -s reload即可），此时RoadRunner只需和代理层保持安全通信，无需自身处理证书更新问题。

内容的提问来源于stack exchange，提问作者Saurabh Lohia