Go gRPC在grpc.Dial中配置ssl_target_name_override解决TLS域名不匹配

当前报错的触发逻辑为：gRPC客户端发起TLS握手时，默认使用grpc.Dial传入的连接地址localhost校验服务端证书的有效身份，但你使用的服务端证书签发的有效域名为xxx.xxx.net，两者不匹配就会触发x509证书校验失败。

你参考到的C++版本的ssl_target_name_override通道参数是基于C-core公共库的实现逻辑，Go语言的gRPC为原生纯Go实现，并未开放直接传入该底层参数的入口，对应的能力已经被内嵌到TLS凭证的封装逻辑中，不需要手动拼接通道参数。

具体修改方式 #

方式1：复用现有客户端凭证创建逻辑（适配你当前的代码结构） #

你当前代码中调用的credentials.NewClientTLSFromFile方法的第二个入参，就是用来指定服务端校验时使用的目标名覆盖值，之前你传入的空字符串会触发默认逻辑——自动取Dial的连接地址作为校验名。
只需要将这个入参替换为证书对应的有效域名，即可完成等价于ssl_target_name_override的配置：

// Create the client TLS credentials
// 第二个参数填入证书对应的有效域名xxx.xxx.net
creds, err := credentials.NewClientTLSFromFile("cert.pem", "xxx.xxx.net")
if err != nil {
    panic(err)
}

conn, err := grpc.Dial("localhost:8080", grpc.WithTransportCredentials(creds))
if err != nil {
    panic(err)
}

方式2：手动构造TLS凭证的场景 #

如果你后续需要自定义TLS校验逻辑（比如自定义根证书池、配置客户端证书等），可以通过原生tls.Config的ServerName字段完成目标名覆盖，示例代码：

// 加载根证书
certPool := x509.NewCertPool()
certBytes, err := os.ReadFile("cert.pem")
if err != nil {
    panic(err)
}
if ok := certPool.AppendCertsFromPEM(certBytes); !ok {
    panic("failed to parse root certificate")
}

// 构造TLS配置
tlsConfig := &tls.Config{
    RootCAs: certPool,
    // 该字段等价于ssl_target_name_override的作用
    ServerName: "xxx.xxx.net",
}

// 创建凭证并发起连接
creds := credentials.NewTLS(tlsConfig)
conn, err := grpc.Dial("localhost:8080", grpc.WithTransportCredentials(creds))
if err != nil {
    panic(err)
}

注意事项 #

• 配置的覆盖值必须和服务端证书SAN扩展字段中的域名完全匹配，当前x509校验逻辑优先识别SAN字段，不会主动读取证书的CN字段做校验
• 该覆盖配置仅适用于本地测试场景，生产环境建议直接将客户端Dial的连接地址替换为证书对应的有效域名，或是在服务端证书的SAN列表中补充实际使用的连接地址，不建议长期依赖目标名覆盖逻辑

内容的提问来源于stack exchange，提问作者sun1