LwM2M引导接口：设备是否需预配置至引导服务器？

1. 设备是否必须预配置至引导服务器后才能启动引导接口？ #

根据LwM2M 1.1.1规范，并非所有场景都要求设备提前预配置到引导服务器，具体取决于采用的安全模式：

• 若使用nosec模式：无需预配置，设备可直接发起引导请求，服务器无需校验身份即可下发配置，但该模式仅适用于测试或非安全场景，生产环境不建议使用。
• 若使用PSK或证书等安全模式：规范要求引导服务器必须验证客户端身份合法性。如果你的设备使用共享的identity和密钥（所有设备共用同一客户专属身份凭证），理论上无需提前预配置每台设备的信息——只要服务器端预配置了这套共享凭证，所有使用该凭证的设备都能通过身份校验并完成引导。但这种方案存在安全风险：一旦凭证泄露，所有设备的引导流程都会暴露。

结合你在Eclipse Leshan的测试情况：PSK模式下endpoint client name设为null才能成功，是因为Leshan严格遵循规范——该参数为可选，若提供则必须与identity匹配；若省略（设为null），服务器仅校验identity和密钥的有效性。此时只要共享identity和密钥在BS端预配置，批量设备就能用这套凭证发起引导，无需提前录入每台设备的endpoint信息。

2. 关于BS需识别每个客户端、每个客户端应有唯一密钥的理解是否正确？ #

从LwM2M安全合规角度，推荐每个客户端使用唯一身份凭证，但并非强制要求：

• 规范核心要求是BS必须验证客户端身份合法性，确保引导请求来自授权设备。唯一密钥/证书的方案安全性最高，能实现设备精细化管理和审计，是生产环境的最佳实践。
• 若采用共享凭证方案，虽符合规范最低安全要求（身份校验通过即可），但会失去单台设备身份识别能力，无法区分不同设备的引导请求，也难以在凭证泄露时快速定位和撤销受影响设备。

针对你的批量设备引导需求：使用共享凭证在技术上可行，但需承担相应安全风险。若要兼顾安全和部署效率，可考虑优化方向：

• 采用批量预生成唯一PSK凭证的方式，在设备出厂前写入专属identity和密钥，同时将这些凭证批量导入BS服务器，既满足安全合规，又无需提前知晓具体设备数量。
• 若使用证书模式，可采用设备侧生成CSR、BS作为CA签发证书的流程，实现设备身份动态校验，无需提前预配置设备信息。

内容的提问来源于stack exchange，提问作者MJV