使用EventStore.Client.Grpc.Streams连接EventStore的证书要求及异常排查

异常原因 #

你遇到的PartialChain证书链错误确实是自签名证书导致的。直接运行ASP.NET Core服务时，服务会使用主机系统的信任存储，而你大概率已将EventStore的自签名证书添加到主机信任列表；但Docker容器默认拥有独立的文件系统和信任存储，里面不包含该自签名证书，因此验证EventStore服务端证书时无法找到完整信任链，从而抛出该异常。

gRPC连接EventStore的核心证书要求 #

• 信任链完整：客户端（你的ASP.NET Core服务）必须信任EventStore服务端证书的签发者。如果是自签名证书，客户端需要将该证书（或其根CA证书）添加到信任存储；如果是公共CA签发的证书，确保客户端能访问到公共CA的根证书（通常默认已包含）。
• 主机名匹配：证书的Subject字段或SAN（Subject Alternative Name）必须包含EventStore的访问域名/IP地址。gRPC会严格验证证书的主机名一致性，不匹配会直接拒绝连接。
• 证书有效性：证书未过期，使用的签名算法（如SHA-256及以上）符合TLS规范，不能使用已被淘汰的算法（如SHA-1）。
• 服务端配置正确：EventStore的gRPC端口（默认2113）必须绑定该证书，确保服务端启用了TLS加密通信，配置中指定了正确的证书路径和密钥。

Docker环境的解决办法 #

1. 将自签名证书添加到Docker容器的信任存储 #

以Debian/Ubuntu基础镜像为例，在ASP.NET Core服务的Dockerfile中添加以下步骤：

# 复制EventStore的自签名证书到容器的证书目录
COPY ./eventstore-cert.pem /usr/local/share/ca-certificates/eventstore-cert.crt
# 更新容器的信任证书存储
RUN update-ca-certificates

如果是Alpine基础镜像，步骤如下：

COPY ./eventstore-cert.pem /usr/local/share/ca-certificates/eventstore-cert.crt
RUN apk add --no-cache ca-certificates && update-ca-certificates

2. 临时禁用证书验证（仅测试环境） #

如果只是测试用，可以在配置gRPC客户端时忽略证书错误，但生产环境绝对禁止使用：

services.AddGrpcClient<IEventStoreClient>(options =>
{
    options.Address = new Uri("https://your-eventstore-vm-ip:2113");
}).ConfigurePrimaryHttpMessageHandler(() =>
{
    var handler = new HttpClientHandler();
    // 忽略所有证书验证错误
    handler.ServerCertificateCustomValidationCallback = HttpClientHandler.DangerousAcceptAnyServerCertificateValidator;
    return handler;
});

3. 使用无TLS的Insecure模式（仅测试） #

修改EventStore的配置，禁用TLS加密，客户端使用http://连接。注意这种方式完全不加密，仅适合本地测试。

内容的提问来源于stack exchange，提问作者Sebastian Schabbach