Go语言GRPC over HTTPS客户端初始化报错求助

这个错误的核心是gRPC客户端与服务端的HTTP层协议协商失败，请求未被gRPC服务端正确识别，反而被当作普通HTTP请求处理，以下是具体排查与修复方向：

1. 确认ChirpStack v4的gRPC服务端TLS配置 #

首先要确保ChirpStack的gRPC服务已开启TLS监听，修改其配置文件（如chirpstack.toml）：

[grpc]
# 启用TLS
tls_enabled = true
# Let's Encrypt证书路径
tls_cert = "/path/to/fullchain.pem"
# 证书私钥路径
tls_key = "/path/to/privkey.pem"

如果服务端未开启gRPC的TLS，客户端用HTTPS连接会导致协议不匹配，服务端无法解析gRPC请求，进而返回400错误。

2. 修正客户端TLS配置 #

你的客户端TLS配置存在两个关键问题，调整如下：

import (
    "crypto/x509"
    "google.golang.org/grpc/credentials"
)

// 加载系统根证书池，用于验证Let's Encrypt证书有效性
pool, err := x509.SystemCertPool()
if err != nil {
    println("Failed to load system cert pool:", err.Error())
    return
}

// 必须指定ServerName，确保与证书的CN/SAN字段匹配
tlsConfig := &tls.Config{
    RootCAs:    pool,
    ServerName: "our-public-address", // 替换为你的实际域名
}

opts := []grpc.DialOption{grpc.WithTransportCredentials(credentials.NewTLS(tlsConfig))}

之前的配置未指定ServerName，会导致证书验证逻辑异常，进而引发协议协商错误。

3. 排查集群反向代理/负载均衡配置 #

如果集群使用了Nginx、Traefik等代理，必须确保代理正确转发gRPC请求：

• 以Nginx为例，需使用grpc_pass而非普通的proxy_pass：

server {
    listen 443 ssl;
    server_name our-public-address;

    ssl_certificate /path/to/fullchain.pem;
    ssl_certificate_key /path/to/privkey.pem;

    location / {
        grpc_pass grpc://chirpstack-grpc-internal:8080; # 指向ChirpStack内部gRPC端口
        grpc_set_header Host $host;
    }
}

若使用普通proxy_pass，代理会将gRPC请求当作HTTP/1.1请求转发，服务端无法识别，就会返回400并提示缺少content-type。

4. 移除手动设置的content-type #

gRPC客户端会自动设置content-type: application/grpc，手动在Context中添加该头信息反而会干扰客户端的自动处理，导致头信息混乱。

5. 用grpcurl工具验证服务端可用性 #

脱离代码层面，先用grpcurl测试服务端是否正常响应HTTPS的gRPC请求：

grpcurl -d '{"email":"admin","password":"admin"}' -cacert /path/to/fullchain.pem our-public-address:443 api.InternalService/Login

如果该命令也报错，说明问题出在服务端或代理配置；如果能正常返回，再回到代码排查TLS细节。

内容的提问来源于stack exchange，提问作者Rodion Gorkovenko