如何在C++中通过编程为gRPC服务端和客户端设置SSL/TLS密码套件？

这个问题问得很到位！依赖环境变量确实不够灵活，尤其是在需要动态配置或者不想影响进程环境的场景下。gRPC其实提供了直接通过代码设置SSL/TLS密码套件的方式，完全不需要碰环境变量，我分Server和Client（Channel）两部分给你详细说明：

一、针对gRPC Server的设置 #

在构建gRPC Server时，你需要通过grpc::SslServerCredentialsOptions对象来配置密码套件，具体步骤如下：

1. 初始化SslServerCredentialsOptions，并设置cipher_suites字段——这个字段的格式和GRPC_SSL_CIPHER_SUITES环境变量完全一致，用冒号分隔密码套件名称即可。
2. 完成常规的SSL配置（加载服务器证书、私钥等）。
3. 用配置好的选项创建SSL服务器凭证，再传给ServerBuilder的AddListeningPort方法。

示例代码：

#include <grpcpp/grpcpp.h>
#include <grpcpp/security/server_credentials.h>

int main() {
    // 配置SSL服务器凭证选项
    grpc::SslServerCredentialsOptions ssl_server_opts;
    
    // 设置自定义密码套件，格式为冒号分隔的套件列表
    ssl_server_opts.cipher_suites = "ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384";

    // 加载服务器私钥和证书（根据你的实际环境调整内容）
    ssl_server_opts.pem_key_cert_pairs.push_back({
        "-----BEGIN PRIVATE KEY-----\n你的服务器私钥内容\n-----END PRIVATE KEY-----",
        "-----BEGIN CERTIFICATE-----\n你的服务器证书内容\n-----END CERTIFICATE-----"
    });
    // 如果需要验证客户端身份，这里还可以设置pem_root_certs字段为CA证书内容

    // 创建SSL服务器凭证
    auto server_creds = grpc::SslServerCredentials(ssl_server_opts);

    // 构建并启动Server
    grpc::ServerBuilder builder;
    builder.AddListeningPort("0.0.0.0:50051", server_creds);
    // 注册你的gRPC服务...
    
    auto server = builder.BuildAndStart();
    server->Wait();

    return 0;
}

二、针对gRPC Channel（Client）的设置 #

客户端这边的逻辑类似，通过grpc::SslCredentialsOptions来配置密码套件，具体步骤：

1. 初始化SslCredentialsOptions，设置cipher_suites字段。
2. 完成客户端SSL配置（比如加载CA证书用于验证服务器身份）。
3. 用配置好的选项创建SSL客户端凭证，再传给grpc::CreateChannel方法。

示例代码：

#include <grpcpp/grpcpp.h>
#include <grpcpp/security/credentials.h>

int main() {
    // 配置SSL客户端凭证选项
    grpc::SslCredentialsOptions ssl_client_opts;
    
    // 设置自定义密码套件
    ssl_client_opts.cipher_suites = "ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384";

    // 加载CA证书，用于验证服务器身份（根据实际情况调整）
    ssl_client_opts.pem_root_certs = "-----BEGIN CERTIFICATE-----\n你的CA证书内容\n-----END CERTIFICATE-----";

    // 创建SSL客户端凭证
    auto channel_creds = grpc::SslCredentials(ssl_client_opts);

    // 创建gRPC Channel
    auto channel = grpc::CreateChannel("localhost:50051", channel_creds);
    
    // 创建Stub并发起gRPC调用...

    return 0;
}

一些注意事项 #

• 密码套件的名称必须符合OpenSSL的规范，你可以通过openssl ciphers命令查看当前系统支持的套件列表，确保你指定的套件是gRPC和OpenSSL都兼容的。
• 如果不设置cipher_suites字段，gRPC会自动使用默认的密码套件列表，和未设置GRPC_SSL_CIPHER_SUITES环境变量时的行为一致。
• 这种编程式配置的方式完全独立于环境变量，适合需要根据不同场景动态调整密码套件的需求，也不会影响进程内的其他组件。

内容的提问来源于stack exchange，提问作者jotik