公网暴露gRPC服务结合ALTS与用户名密码认证的实现方案咨询

gRPC公网部署认证相关问题解答 #

1. ALTS+用户名密码组合认证方案说明 #

ALTS是Google专为GCP内部服务通信设计的认证机制，强依赖GCP底层的基础设施提供密钥分发、身份校验能力，公网非GCP部署环境无法使用ALTS。
你提到的「一次认证后通过证书完成后续校验」的需求，可以用TLS客户端证书认证方案替代，实现逻辑如下：

• 客户端首次请求携带用户名密码调用登录接口，服务端校验凭证合法后，为客户端签发短期客户端TLS证书
• 后续所有请求客户端携带该证书做双向TLS认证，无需重复传递用户名密码，完全满足你提到的需求

另外注意你当前的客户端代码存在安全风险：InsecureSkipVerify: true会跳过服务端证书校验，公网部署时必须关闭该配置，将Let's Encrypt对应的根证书加入客户端TLS信任池即可正常校验服务端证书。

2. 会话登录标记方案可行性 #

该方案是完全可行的，落地时注意以下几点即可：

• gRPC本身是无状态的，不要在服务端全局存储logged in标记，避免多用户权限串扰。推荐将会话凭证存到gRPC metadata中随请求传递，或者绑定到RPC上下文
• 用gRPC拦截器统一做登录态校验，无需在每个业务接口重复实现校验逻辑，普通RPC和流式RPC都有对应类型的拦截器可以使用
• 如果你用了流式RPC，建议在流建立阶段就完成登录态校验，避免流建立后传输数据时才拒绝，浪费公网带宽
• 会话凭证必须设置过期时间，降低凭证泄露后的安全风险

内容的提问来源于stack exchange，提问作者mama