.NET 6（Kestrel）下带SSL的gRPC服务端配置方法问询

.NET 6的gRPC服务端把Startup逻辑整合进了Program.cs，配置Kestrel SSL主要有两种实用方式：

方式一：通过配置文件（appsettings.json）配置 #

把SSL证书信息写在配置文件里，不用改动Program.cs核心逻辑，适合生产环境灵活调整：

{
  "Kestrel": {
    "Endpoints": {
      "Https": {
        "Url": "https://0.0.0.0:5000",
        "Certificate": {
          // 用PFX格式证书的配置
          "Path": "server.pfx",
          "Password": "your-cert-password"
          // 如果是PEM格式（证书和私钥分开文件），替换成下面两行：
          // "Path": "server.crt",
          // "KeyPath": "server.key"
        }
      }
    }
  }
}

WebApplication.CreateBuilder会自动读取这个配置，启动后服务端就会在5000端口启用HTTPS。

方式二：在Program.cs中代码硬编码配置 #

如果需要更灵活的控制（比如动态加载证书、自定义客户端证书验证），可以直接在Program.cs里配置Kestrel：

var builder = WebApplication.CreateBuilder(args);

// 配置Kestrel监听HTTPS端口并加载证书
builder.WebHost.ConfigureKestrel(options =>
{
    options.ListenAnyIP(5000, listenOptions =>
    {
        // 加载PFX证书
        listenOptions.UseHttps("server.pfx", "your-cert-password");

        // 或者加载PEM格式证书
        // listenOptions.UseHttps(options =>
        // {
        //     options.ServerCertificate = X509Certificate2.CreateFromPemFile("server.crt", "server.key");
        // });

        // 如果你需要验证客户端证书（对应你提供的客户端证书认证逻辑）
        listenOptions.UseHttps(options =>
        {
            options.ClientCertificateMode = ClientCertificateMode.RequireCertificate;
            options.CheckCertificateRevocation = false; // 根据实际需求调整是否检查吊销列表
            // 可选：自定义证书验证逻辑
            options.ClientCertificateValidation = (certificate, chain, errors) =>
            {
                // 这里可以添加自定义校验，比如检查证书的颁发者、有效期等
                return errors == SslPolicyErrors.None;
            };
        });
    });
});

builder.Services.AddGrpc();
var app = builder.Build();

app.MapGrpcService<MyTestService>();
app.MapGet("/", () => "Communication with gRPC endpoints must be made through a gRPC client.");

app.Run();

注意事项 #

• 证书文件要确保放在项目的输出目录，或者用绝对路径指定文件位置
• 开发环境可以用dotnet dev-certs https -ep ./server.pfx -p your-password生成自签名证书测试
• 客户端配置要和服务端对应：服务端启用HTTPS后，客户端地址要改成https://0.0.0.0:5000；如果服务端要求客户端证书，客户端需要像你提供的代码那样正确加载客户端证书

内容的提问来源于stack exchange，提问作者UNRE