能否在ESP8266+RTOS SDK中使用证书包实现证书切换？

一、同时存储新旧证书并实现动态切换 #

要避免证书更换时重新烧录，核心是把证书和固件分离存储，同时在连接失败时自动切换证书：

• 证书存储：将新旧证书存入ESP8266 Flash的非程序分区（比如用NVS或SPIFFS分区），烧录固件时可一次性写入两个证书，后续也能通过OTA、串口指令等方式更新证书内容，不用动固件。
• 连接重试逻辑：连接MQTT Broker时，先尝试使用新证书，若因证书验证失败（返回ESP_ERR_MQTT_CONNECT_FAILED或SSL相关错误），立即切换旧证书重新初始化客户端并连接。伪代码示例：

// 从Flash读取证书到缓冲区（需自行实现Flash读取逻辑）
char cert_old[1024];
char cert_new[1024];
read_cert_from_nvs("cert_old", cert_old, sizeof(cert_old));
read_cert_from_nvs("cert_new", cert_new, sizeof(cert_new));

// 先尝试新证书
esp_mqtt_client_config_t mqtt_cfg = {
    .broker.address.uri = "mqtts://your-broker-uri",
    .broker.verification.certificate = cert_new,
};
esp_mqtt_client_handle_t client = esp_mqtt_client_init(&mqtt_cfg);
esp_err_t err = esp_mqtt_client_start(client);

// 新证书失败则切换旧证书
if (err != ESP_OK) {
    esp_mqtt_client_destroy(client);
    mqtt_cfg.broker.verification.certificate = cert_old;
    client = esp_mqtt_client_init(&mqtt_cfg);
    err = esp_mqtt_client_start(client);
}

if (err == ESP_OK) {
    // 连接成功，后续处理MQTT逻辑
}

• 注意事项：要保证Flash分区大小足够容纳证书，读取证书时要做校验，避免读取到损坏的内容导致连接失败。

二、模拟ESP-IDF的证书包功能 #

ESP8266-RTOS SDK没有原生证书包功能，但可以手动模拟多证书验证逻辑：

证书包的核心是遍历证书列表，逐个尝试直到连接成功，你可以自己封装这个逻辑：

1. 定义证书列表：把所有需要的证书（新旧、甚至备用证书）存入Flash，然后在代码中构建一个证书条目数组，包含证书数据和长度。
2. 遍历连接逻辑：编写一个通用函数，遍历证书列表，逐个用当前证书初始化MQTT客户端并尝试连接，直到成功或遍历完所有证书。示例代码：

// 证书条目结构体
typedef struct {
    const char* cert_data;
    size_t cert_len;
} CertEntry;

// 从Flash读取证书后填充列表（示例）
CertEntry cert_list[] = {
    {.cert_data = cert_new, .cert_len = strlen(cert_new)},
    {.cert_data = cert_old, .cert_len = strlen(cert_old)}
};

// 多证书连接函数
esp_err_t mqtt_connect_with_cert_list(esp_mqtt_client_handle_t* out_client) {
    int total_certs = sizeof(cert_list) / sizeof(CertEntry);
    for (int i = 0; i < total_certs; i++) {
        esp_mqtt_client_config_t mqtt_cfg = {
            .broker.address.uri = "mqtts://your-broker-uri",
            .broker.verification.certificate = cert_list[i].cert_data,
            .broker.verification.certificate_len = cert_list[i].cert_len,
        };
        esp_mqtt_client_handle_t client = esp_mqtt_client_init(&mqtt_cfg);
        esp_err_t err = esp_mqtt_client_start(client);
        if (err == ESP_OK) {
            *out_client = client;
            return ESP_OK;
        }
        // 连接失败，销毁当前客户端再试下一个
        esp_mqtt_client_destroy(client);
    }
    // 所有证书都尝试失败
    return ESP_FAIL;
}

3. 优化建议：连接成功后，可以把当前有效的证书索引存入NVS，下次启动时优先使用该证书，减少不必要的重试次数。

内容的提问来源于stack exchange，提问作者Paul D Smith