使用Rust Tonic库实现TLS gRPC时遭遇NotValidForName错误求助

首要问题：代码变量名错误 #

你的代码中存在明显的变量名误用：创建了ClientTlsConfig实例tls，但调用.tls_config()时传入的是未定义的tls_config，这会导致实际使用的TLS配置并非你预期的，直接引发域名验证失败。修正后的代码如下：

let tls = ClientTlsConfig::new()
    .domain_name("server") // 确保此处域名与证书匹配
    .ca_certificate(Certificate::from_pem(client_ca_data));
let channel = Channel::from_shared(endpoint.to_string()) // 建议使用 https://server:50051 作为端点
                .unwrap()
                .tls_config(tls)? // 修正变量名为tls
                .connect()
                .await?;

后续排查方向（若修正变量名后仍报错） #

1. 确认端点协议 #

gRPC over TLS要求端点使用https://协议头，而非http://。虽然Tonic可能自动处理，但显式使用https://server:50051可避免潜在的协议混淆问题。

2. 检查证书的SAN字段 #

Rustls（Tonic底层依赖的TLS库）严格遵循现代TLS规范，优先验证证书的**Subject Alternative Name（SAN）**字段，而非传统的Subject CN（Common Name）。即使curl能正常工作，若证书未包含对应域名的SAN条目，仍会验证失败：

• 用以下命令查看证书的SAN信息：

  openssl x509 -in your_certificate.pem -text -noout | grep -A 1 "Subject Alternative Name"
  

• 确保输出中存在DNS:server条目，若仅依赖CN字段，需重新生成包含正确SAN的证书。

3. 域名精确匹配 #

• domain_name需设置为纯域名，不能包含端口号（如应写server而非server:50051）
• 若证书使用通配符（如*.example.com），则domain_name需为完整域名（如server.example.com），不能仅写server

4. 验证CA证书完整性 #

确认client_ca_data加载的CA证书内容完整、格式正确，可将其写入本地文件后，与curl命令中使用的CA证书做MD5校验，确保两者一致：

md5sum your_ca.pem
# 对比代码中加载的client_ca_data的MD5值

内容的提问来源于stack exchange，提问作者dmeister