Windows环境下gRPC认证问题：Xamarin(Maui)C#客户端连接失败

一、先确认服务端证书配置 #

局域网环境下服务端通常使用自签名证书，先确保Kestrel配置正确：

配置文件方式（appsettings.json） #

"Kestrel": {
  "Endpoints": {
    "Https": {
      "Url": "https://0.0.0.0:5001",
      "Certificate": {
        "Path": "server-cert.pfx",
        "Password": "your-cert-pass"
      }
    }
  },
  "EndpointDefaults": {
    "Protocols": "Http1AndHttp2"
  }
}

代码配置方式（控制台服务端Program.cs） #

builder.WebHost.ConfigureKestrel(options =>
{
    options.ListenAnyIP(5001, opts =>
    {
        opts.Protocols = HttpProtocols.Http1AndHttp2;
        opts.UseHttps("server-cert.pfx", "your-cert-pass");
    });
});

二、客户端证书信任处理 #

方案1：测试环境快速绕过验证（仅开发用） #

直接修改GrpcChannel的证书验证逻辑，跳过信任检查：

var channel = GrpcChannel.ForAddress(baseUri, new GrpcChannelOptions
{
    Credentials = ChannelCredentials.Create(new SslCredentials((_, _, _, _) => true)),
    ThrowOperationCanceledOnCancellation = false
});

这个方式简单直接，但绝对不能用于生产环境，完全跳过了证书安全验证。

方案2：导入证书到客户端设备（安全合规，适合生产/正式测试） #

1. 从服务端的PFX证书导出.cer格式文件（只包含公钥，不要导出私钥）
2. 将.cer文件放到MAUI项目的Resources/Raw目录，设置文件属性：
   • 生成操作：MauiAsset
   • 复制到输出目录：如果较新则复制
3. 在客户端初始化时加载并导入证书（跨平台适配）：

using System.Security.Cryptography.X509Certificates;

// 加载包内的证书文件
var certStream = await FileSystem.OpenAppPackageFileAsync("server-cert.cer");
var certBytes = new byte[certStream.Length];
await certStream.ReadAsync(certBytes, 0, (int)certStream.Length);
var rootCert = new X509Certificate2(certBytes);

// 按平台导入信任
#if ANDROID
var androidCert = Java.Security.Cert.CertificateFactory.GetInstance("X.509")
    .GenerateCertificate(new MemoryStream(certBytes)) as Java.Security.Cert.X509Certificate;
var keyStore = Java.Security.KeyStore.GetInstance(Java.Security.KeyStore.DefaultType);
keyStore.Load(null, null);
keyStore.SetCertificateEntry("grpc-server-cert", androidCert);
var trustManagerFactory = Java.Security.Cert.TrustManagerFactory.GetInstance(Java.Security.Cert.TrustManagerFactory.DefaultAlgorithm);
trustManagerFactory.Init(keyStore);
#elif IOS
var secCert = new Security.SecCertificate(certBytes);
// 评估证书并添加到用户信任（iOS需要用户授权）
var trustResult = Security.SecTrust.CreateWithCertificates(secCert, null, out var trust) 
    ? Security.SecTrust.Evaluate(trust, out _) 
    : false;
#endif

完成后，客户端原有的ChannelCredentials.SecureSsl配置即可正常工作，设备会信任服务端证书。

三、额外检查项 #

• 服务端地址要用局域网可访问的IP/主机名，别用localhost（跨设备连接时）
• 确认服务端防火墙开放了对应的HTTPS端口（比如5001）
• 如果是域环境，可申请域内CA签发的证书，客户端会自动信任，无需手动导入

内容的提问来源于stack exchange，提问作者eric frazer