Rust MongoDB驱动启用无效TLS证书连接时遇证书版本不支持错误

问题详情 #

已通过URI配置tls=true及tlsAllowInvalidCertificates=true，但连接MongoDB时仍报错。相关代码：

let uri = "MongoDB://user:pwd@host:port/database_name?tls=true&tlsAllowInvalidCertificates=true";
let client_options = ClientOptions::parse(uri)?;
let client = Client::with_options(client_options).expect("Failed to create client");
let db = client.database("database_name");

解析后的client_options显示TLS配置已生效：

tls: Some(Enabled(TlsOptions{allow_invalid_certificates: Some(true) ...}))

但收到错误：

Error: invalid peer certificate contents: invalid peer certificate: UnsupportedCertVersion

环境版本：

• MongoDB服务器：4.2.18
• Mongosh客户端：1.5.0
• Rust MongoDB驱动：2.3.0

补充：通过mongosh命令mongosh server_dns:server_port/database_name -u username -p --tls --tlsAllowInvalidCertificates及pymongo使用相同选项可成功连接。

原因分析 #

tlsAllowInvalidCertificates=true仅允许跳过证书有效性校验（如自签名、过期证书等），但无法解决TLS协议版本不兼容的问题。Rust MongoDB驱动默认使用rustls作为TLS后端，rustls默认禁用了TLS 1.0/1.1等旧版本协议；而MongoDB 4.2.18可能配置为使用这些旧版本TLS，导致握手时版本不匹配报错。

mongosh和pymongo使用的TLS库（如OpenSSL）默认允许旧版本TLS协议，因此能正常连接。

解决方案 #

手动配置ClientOptions中的TLS选项，指定驱动支持的最低TLS版本，适配MongoDB服务器的配置：

use mongodb::{Client, options::{ClientOptions, TlsOptions, TlsVersion}};
use std::error::Error;

fn main() -> Result<(), Box<dyn Error>> {
    // 先解析基础URI（也可以直接构造ClientOptions）
    let mut client_options = ClientOptions::parse("MongoDB://user:pwd@host:port/database_name?tls=true")?;
    
    // 调整TLS配置
    if let Some(tls_options) = client_options.tls.as_mut() {
        tls_options.allow_invalid_certificates = Some(true);
        // 设置允许的最低TLS版本，根据服务器实际配置选择Tls10/Tls11/Tls12
        tls_options.min_version = Some(TlsVersion::Tls10);
    }
    
    let client = Client::with_options(client_options)?;
    let _db = client.database("database_name");
    
    println!("连接成功");
    Ok(())
}

如果服务器支持TLS 1.2，也可以将min_version设为TlsVersion::Tls12，兼顾安全性和兼容性。

额外建议 #

如果有权限修改MongoDB服务器配置，建议将服务器的TLS协议版本升级到TLS 1.2或更高，避免依赖旧版本协议带来的安全风险。

内容的提问来源于stack exchange，提问作者prorealize