基于node-opcua的OPC UA服务器客户端证书验证问题求助

一、证书识别用户的核心逻辑 #

node-opcua 中，服务器通过客户端证书的标识信息映射到具体用户，常用两种方式：

• 用证书的Subject.CommonName（CN字段）直接作为用户名，比如证书CN设为user_erp，服务器就识别为用户user_erp
• 用证书的**指纹（Thumbprint）**做唯一标识，在服务器端维护指纹-用户映射表，通过指纹匹配对应用户

本质是把客户端证书作为用户身份凭证，替代或补充账号密码验证。

二、证书存储的标准目录结构 #

node-opcua 的证书管理器会自动创建规范目录，需确保路径正确：

• 服务器自身证书：
  • 私钥：./certificates/server/private/server_key.pem
  • 证书：./certificates/server/certs/server_cert.pem
• 客户端证书信任列表：
  • 已信任：./certificates/client/trusted/certs/（存放允许连接的客户端证书）
  • 已拒绝：./certificates/client/rejected/certs/（存放禁止连接的客户端证书）
• 签发CA证书（若用CA签名）：./certificates/issuer/certs/

三、解决「连接被服务器拒绝」错误 #

该错误90%以上源于证书信任问题或配置错误，按以下步骤排查：

1. 手动信任客户端证书（测试阶段）
   将客户端生成的.pem证书文件，复制到服务器的./certificates/client/trusted/certs/目录，重启服务器
2. 检查证书格式与规范
   • 客户端证书必须是PEM格式，CN字段不能含特殊字符，建议与用户名一致
   • 证书有效期未过期，密钥长度至少2048位
3. 确认服务器安全配置
   服务器启动时需指定正确的安全策略和模式，示例配置：

   const server = new OPCUAServer({
       port: 4840,
       certificateFile: "./certificates/server/certs/server_cert.pem",
       privateKeyFile: "./certificates/server/private/server_key.pem",
       serverCertificateManager: new OPCUACertificateManager({
           rootFolder: "./certificates"
       }),
       // 开启证书验证的安全策略
       securityPolicies: [SecurityPolicy.Basic256Sha256],
       securityModes: [MessageSecurityMode.SignAndEncrypt, MessageSecurityMode.Sign],
       // 自定义证书验证逻辑
       validateCertificate: (certificate, callback) => {
           const isTrusted = server.serverCertificateManager.isCertificateTrusted(certificate);
           callback(null, isTrusted);
       }
   });
   

4. 检查客户端证书加载
   客户端必须正确指定自身证书和私钥，示例代码：

   const client = OPCUAClient.create({
       endpoint_must_exist: false,
       certificateFile: "./client_certs/user1_cert.pem",
       privateKeyFile: "./client_certs/user1_key.pem",
       securityPolicy: SecurityPolicy.Basic256Sha256,
       securityMode: MessageSecurityMode.SignAndEncrypt
   });
   

四、每个用户独立证书的实现步骤 #

1. 为每个用户生成独立证书
   用node-opcua的CertificateManager为每个用户生成专属证书，CN设为用户名：

   const certManager = new OPCUACertificateManager({ rootFolder: "./client_certs" });
   // 为user1生成证书
   await certManager.createSelfSignedCertificate({
       commonName: "user1",
       organization: "MyCompany",
       organizationalUnit: "IT",
       country: "CN",
       state: "Shanghai",
       locality: "Shanghai",
       applicationUri: "urn:node-opcua-client:user1",
       dns: ["localhost"]
   });
   

2. 服务器端映射证书到用户
   在服务器的用户管理器中，通过客户端证书的CN字段匹配用户，结合原有账号密码系统：

   server.userManager = {
       isValidUser: (username, password) => {
           // 原有密码验证逻辑
           return myUserDatabase.checkPassword(username, password);
       },
       // 基于证书的用户验证
       getUserIdentity: (certificate) => {
           const subject = certificate.subject;
           const username = subject.commonName;
           if (myUserDatabase.userExists(username)) {
               return { userName: username, type: UserTokenType.Certificate };
           }
           return null;
       }
   };
   

3. 追踪客户端操作
   在服务器的onSessionActivated事件中，记录客户端证书指纹和用户名，实现操作追踪：

   server.on("session_activated", (session) => {
       const clientCertificate = session.clientCertificate;
       if (clientCertificate) {
           const thumbprint = clientCertificate.thumbprint.toString("hex");
           const username = session.userIdentity.userName;
           console.log(`用户 ${username} 用证书 ${thumbprint} 激活会话`);
           // 写入日志或数据库
       }
   });
   

五、注意事项 #

• 正式环境避免使用自签名证书，建议搭建内部CA统一签发客户端证书
• 定期清理过期证书，维护信任列表
• 测试环境可开启自动审核功能，避免手动复制证书（正式环境谨慎使用）：

  server.serverCertificateManager.autoAcceptUnknownCertificate = true;
  

内容的提问来源于stack exchange，提问作者ER12