启用SSL客户端证书校验的MQTT broker证书续期后是否需更新客户端证书？

是否需要更新客户端内置证书，完全取决于你对broker证书的续期方式，以及客户端校验服务端证书的逻辑，和你开启的「broker强制客户端证书校验」规则没有关联：

• 如果你续期broker的SSL证书时，签发证书的根CA/中间CA没有发生变化，且客户端内置的是对应根CA的信任证书，而非硬编码绑定broker的单张服务端证书：不需要做任何客户端侧的证书更新，客户端可以正常校验新的broker证书，建立连接。
• 如果你续期时更换了签发broker证书的CA机构，或者客户端侧是直接固定信任broker的旧服务端证书：必须同步更新所有客户端内置的信任证书，否则客户端会校验broker证书无效，直接断开连接。

补充说明：你提到的broker强制客户端证书校验，是服务端用来验证客户端身份的逻辑，只和客户端持有的客户端证书、服务端信任的客户端证书签发CA有关，和broker自身的服务端SSL证书续期完全独立。只要你没有改动客户端证书的签发信任链，客户端的客户端证书不需要做任何调整。

场景优化建议 #

针对物联网设备量大、端侧更新成本高的特点，推荐后续调整客户端校验逻辑为信任根CA证书，而非绑定单张broker服务端证书，这样后续每年续期broker证书只要沿用同一CA签发，就完全不需要动端侧配置，能省去大量运维成本。

内容的提问来源于stack exchange，提问作者Hak