Golang Paho MQTT客户端如何通过Websocket连接AWS IoT Core

你当前代码无法正常连接的核心原因有三个：未启用Paho客户端的Websocket传输层适配、Broker地址缺少AWS要求的MQTT服务路径、TLS配置不完整。按以下步骤修改即可正常连接：

必要配置修改 #

• 导入Websocket适配包：Paho Golang客户端默认仅内置TCP传输实现，Websocket支持以可选扩展形式提供，必须匿名导入对应子包完成协议注册，否则客户端不会按Websocket协议发起握手。
• 补全TLS配置：除设备证书与私钥外，必须加载AWS IoT根CA证书（AmazonRootCA1.pem）到信任根证书池，同时显式设置TLS SNI扩展的服务名为你的IoT Core端点域名，强制使用TLS 1.2及以上版本（AWS IoT Core的强制要求）。
• 修正Broker地址：AWS IoT Core的MQTT over Websocket服务挂载在/mqtt路径下，连接地址必须拼接该路径，否则服务端会直接返回404拒绝连接。

修正后的可运行代码 #

package main

import (
	"crypto/tls"
	"crypto/x509"
	"fmt"
	"os"
	"time"

	MQTT "github.com/eclipse/paho.mqtt.golang"
	// 匿名导入websocket包，自动注册wss协议处理器
	_ "github.com/eclipse/paho.mqtt.golang/websocket"
)

func main() {
	// 加载设备端证书私钥
	cer, err := tls.LoadX509KeyPair(
		"cd5a04e9fd9a094326c9ee0cdc1e1f7b2e3510a9e106968683d333a2a4344ca7-certificate.pem.crt",
		"cd5a04e9fd9a094326c9ee0cdc1e1f7b2e3510a9e106968683d333a2a4344ca7-private.pem.key",
	)
	check(err)

	// 加载AWS根CA证书
	rootCAPem, err := os.ReadFile("AmazonRootCA1.pem")
	check(err)
	rootCAs := x509.NewCertPool()
	if !rootCAs.AppendCertsFromPEM(rootCAPem) {
		panic("根CA证书解析失败")
	}

	host := "a2to6mbspmaw82-ats.iot.eu-west-1.amazonaws.com"
	port := 443

	connOpts := MQTT.NewClientOptions()
	connOpts.SetClientID("ClientID")
	connOpts.SetMaxReconnectInterval(1 * time.Second)
	// 完整TLS配置
	connOpts.SetTLSConfig(&tls.Config{
		Certificates: []tls.Certificate{cer},
		RootCAs:      rootCAs,
		ServerName:   host,
		MinVersion:   tls.VersionTLS12,
	})
	// 注意地址末尾必须加/mqtt路径
	brokerURL := fmt.Sprintf("wss://%s:%d/mqtt", host, port)
	connOpts.AddBroker(brokerURL)

	mqttClient := MQTT.NewClient(connOpts)
	if token := mqttClient.Connect(); token.Wait() && token.Error() != nil {
		panic(token.Error())
	}

	// 测试发布
	token := mqttClient.Publish("some_topic", 0, false, "message from lap")
	token.Wait()
}

func check(err error) {
	if err != nil {
		panic(err)
	}
}

常见问题排查 #

• 连接返回404/403：优先检查Broker地址是否拼接了/mqtt路径，IoT策略是否允许当前客户端执行connect/publish操作
• TLS握手失败：检查根CA文件是否正确、设备证书与私钥是否匹配、设备证书是否已在AWS IoT控制台激活
• 提示协议未注册/未知协议：检查是否匿名导入了websocket子包

内容的提问来源于stack exchange，提问作者Yasin Eraslan