SAP BTP试用账户下Node.js应用Credential Store mTLS认证失败排查

问题分析 #

你的代码存在以下核心问题导致mTLS认证失败：

1. node-fetch配置错误：node-fetch不支持直接传递agentOptions参数，必须手动创建https.Agent实例并通过agent选项传入。
2. 证书/密钥格式不规范：VCAP环境变量中获取的certificate和key通常是去除换行的字符串，需要还原为标准PEM格式才能被HTTPS代理识别。
3. 错误排查信息缺失：当前错误处理仅返回模糊提示，丢失了原始请求错误和服务端返回的详细内容，无法定位具体问题。

修改后的代码 #

const express = require('express');
const fetch = require('node-fetch');
const https = require('https');
const app = express();

const port = process.env.PORT || 3000;

// 从VCAP获取Credential Store绑定信息
const binding = JSON.parse(process.env.VCAP_SERVICES).credstore[0].credentials;

// 格式化证书/密钥为标准PEM格式
function formatPem(str, type) {
    const header = `-----BEGIN ${type.toUpperCase()}-----`;
    const footer = `-----END ${type.toUpperCase()}-----`;
    // 将连续字符串分割为每行64字符的标准格式
    const formatted = str.match(/.{1,64}/g).join('\n');
    return `${header}\n${formatted}\n${footer}`;
}

async function fetchWithMtls(url, method, headers, cert, key) {
    try {
        // 处理证书和密钥格式
        const formattedCert = formatPem(cert, 'CERTIFICATE');
        const formattedKey = formatPem(key, 'PRIVATE KEY');

        // 创建带mTLS配置的HTTPS代理
        const agent = new https.Agent({
            cert: formattedCert,
            key: formattedKey,
            // 调试时可临时禁用证书链验证（生产环境请勿开启）
            // rejectUnauthorized: false
        });

        const response = await fetch(url, {
            method,
            headers,
            agent: agent // 传入自定义HTTPS代理
        });

        // 获取服务端原始响应内容，用于排查问题
        const responseText = await response.text();
        let responseData;
        try {
            responseData = JSON.parse(responseText);
        } catch (e) {
            responseData = responseText;
        }

        if (!response.ok) {
            let message = `请求失败，状态码：${response.status}`;
            if (response.status === 401) {
                message = `认证失败：${JSON.stringify(responseData)}`;
            }
            throw new Error(message);
        }

        return responseData;
    } catch (error) {
        throw new Error(`请求异常：${error.message}`);
    }
}

async function main() {
    try {
        const method = 'GET';
        const headers = {
            'sapcp-credstore-namespace': 'namespace1', // 确认此命名空间已在Credential Store创建
            'Cache-Control': 'no-cache',
            'Accept': 'application/json'
        };

        const url = `${binding.url}/password?name=${encodeURIComponent('neylux')}`;
        const data = await fetchWithMtls(url, method, headers, binding.certificate, binding.key);
        
        console.log('响应结果:', data);
    } catch (error) {
        console.error('请求失败:', error.message);
    }

    app.listen(port, () => {
        console.log(`服务运行在端口 ${port}`);
    });
}

main();

关键修改说明 #

• 正确配置mTLS代理：手动实例化https.Agent并传入处理后的证书和密钥，这是node-fetch实现mTLS的标准方式。
• 修复证书格式：通过formatPem函数将VCAP中的无换行字符串转换为标准PEM格式，确保HTTPS代理能正确解析。
• 增强错误信息：捕获服务端原始响应内容，即使是非JSON格式也能输出，帮助定位认证失败的具体原因（如命名空间不存在、凭证名称错误等）。
• 优化请求头：添加Accept: application/json头，确保服务端返回预期的JSON格式响应。

额外排查建议 #

1. 确认namespace1是你在Credential Store中实际创建的命名空间，名称完全匹配（区分大小写）。
2. 确认neylux是该命名空间下已存在的凭证名称。
3. 调试时可临时开启rejectUnauthorized: false，排除证书链验证问题，但生产环境必须关闭此选项。

内容的提问来源于stack exchange，提问作者Dev Tech