C++ gRPC客户端无客户端证书通过服务端TLS连接Java服务端报错咨询

错误根因 #

你遇到的gRPC状态码12（UNIMPLEMENTED）是TLS握手失败后抛出的上层封装错误，核心问题出在你客户端的TLS凭证配置和Java服务端的TLS部署不匹配：
默认构造的grpc::SslCredentialsOptions没有配置服务端根证书，客户端会默认调用系统内置的根证书池校验服务端返回的TLS证书，只要满足以下任意一个条件就会导致握手终止，触发报错：

• Java服务端使用自签名证书，没有被系统根证书池收录
• 客户端访问的地址（域名/IP）和服务端证书的CN/SAN字段不匹配
• Java服务端未正确开启TLS单向认证配置

修复方案 #

根据你的服务端证书类型选择对应配置即可：

场景1：服务端使用公网信任的CA颁发的证书 #

仅需补充跳过域名校验配置（如果客户端访问地址和证书注册域名完全一致可省略该配置）：

grpc::SslCredentialsOptions ssl_opts;
ssl_opts.verify_server_cn = false;
auto creds = grpc::SslCredentials(ssl_opts);

场景2：服务端使用自签名证书 #

先从Java服务端导出TLS根证书的PEM格式内容，填入客户端配置：

grpc::SslCredentialsOptions ssl_opts;
// 赋值为服务端根证书的PEM字符串，注意换行符保留
ssl_opts.pem_root_certs = R"(-----BEGIN CERTIFICATE-----
MIIC5zCCAc+gAwIBAgIUAf9...
...
-----END CERTIFICATE-----)";
// 可选：访问地址和证书CN/SAN不匹配时开启
// ssl_opts.verify_server_cn = false;
auto creds = grpc::SslCredentials(ssl_opts);

服务端配置核对 #

确认Java gRPC服务端已正确开启TLS单向认证（不需要客户端证书），参考配置如下：

NettyServerBuilder.forPort(yourServicePort)
    .useTransportSecurity(
        new File("path/to/server-cert.pem"),
        new File("path/to/server-private-key.pem")
    )
    .addService(yourServiceImpl)
    .build()
    .start();

单向认证场景下不需要额外配置clientAuth，gRPC Java默认不要求客户端提供证书。

内容的提问来源于stack exchange，提问作者Rohan Sharma