启用ORDERER_GENERAL_TLS_CLIENTAUTHREQUIRED后Fabric Node SDK私钥无效问题排查

错误核心原因 #

你遇到的Invalid private key错误，根源是混淆了Fabric中的两种密钥用途：

• 管理员的signingIdentity是用于交易签名的ECDSA私钥，它的格式和用途和TLS客户端要求的私钥完全不同；
• 当Orderer启用ORDERER_GENERAL_TLS_CLIENTAUTHREQUIRED=true时，客户端必须提供专门的TLS客户端证书和私钥（用于TLS双向认证），而非签名身份的密钥。

gRPC层的报错就是因为它无法将签名私钥解析为合法的TLS私钥，导致握手失败。

正确的配置步骤 #

要解决这个问题，你需要使用对应客户端身份的TLS凭证，而不是管理员的签名密钥：

1. 获取正确的TLS客户端凭证
   在Fabric的crypto-config目录中，每个用户都有专属的TLS凭证，路径通常是：

   crypto-config/peerOrganizations/org1.example.com/users/[你的用户名]@org1.example.com/tls/
   

   这个目录下包含两个关键文件：

   • client.crt：TLS客户端证书
   • client.key：TLS客户端私钥（PKCS#8格式的PEM文件）

2. 加载并设置TLS凭证到客户端
   修改你的代码，加载上述TLS文件，而非管理员的签名身份：

   const fs = require('fs');
   const path = require('path');
   
   // 替换为你实际的TLS凭证路径
   const tlsCertPath = path.join(__dirname, "../crypto-config/peerOrganizations/org1.example.com/users/User1@org1.example.com/tls/client.crt");
   const tlsKeyPath = path.join(__dirname, "../crypto-config/peerOrganizations/org1.example.com/users/User1@org1.example.com/tls/client.key");
   
   const tlsCert = fs.readFileSync(tlsCertPath, 'utf8');
   const tlsKey = fs.readFileSync(tlsKeyPath, 'utf8');
   
   // 设置TLS客户端凭证
   client.setTlsClientCertAndKey(tlsCert, tlsKey);
   

3. 确保客户端信任Orderer的TLS根证书
   同时，你需要在连接Orderer时指定Orderer的TLS CA证书，确保客户端能验证Orderer的身份，示例代码中通常会在网络配置或Orderer连接选项中设置：

   const ordererTLSCertPath = path.join(__dirname, "../crypto-config/ordererOrganizations/example.com/tlsca/tlsca.example.com-cert.pem");
   const ordererTLSCert = fs.readFileSync(ordererTLSCertPath, 'utf8');
   
   // 在创建Orderer实例时传入TLS根证书
   const orderer = client.newOrderer(
       'grpcs://localhost:7050',
       {
           pem: ordererTLSCert,
           'ssl-target-name-override': 'orderer.example.com'
       }
   );
   

额外说明 #

官方文档中提到的TLS客户端认证，核心是区分交易签名身份和TLS通信身份：

• 签名身份用于Fabric链码交易的身份验证，由MSP管理；
• TLS身份仅用于客户端与Orderer/Peer之间的TLS双向认证，需要单独的凭证对。

内容的提问来源于stack exchange，提问作者Shubham Chadokar