如何实现gRPC用户名/密码认证：Java服务端与Python客户端

我来帮你搞定gRPC的用户名密码认证问题，分Java服务端和Python客户端两部分给你讲清楚，都是能直接上手的实操代码：

gRPC的身份认证通常通过**拦截器（ServerInterceptor）**实现，它能在请求到达业务逻辑前完成校验。具体步骤如下：

• 1. 编写认证拦截器类，实现ServerInterceptor接口
     这里我们从请求头（Metadata）中提取用户名密码，再执行自定义的验证逻辑：

  import io.grpc.*;
  
  public class AuthInterceptor implements ServerInterceptor {
      // 替换成你的实际验证逻辑，比如从数据库查询用户合法性
      private boolean validateCredentials(String username, String password) {
          return "admin".equals(username) && "123456".equals(password);
      }
  
      @Override
      public <ReqT, RespT> ServerCall.Listener<ReqT> interceptCall(
              ServerCall<ReqT, RespT> call, Metadata headers, ServerCallHandler<ReqT, RespT> next) {
          // 从Metadata中读取用户名密码，key要和客户端传递的一致
          Metadata.Key<String> USERNAME_KEY = Metadata.Key.of("username", Metadata.ASCII_STRING_MARSHALLER);
          Metadata.Key<String> PASSWORD_KEY = Metadata.Key.of("password", Metadata.ASCII_STRING_MARSHALLER);
          
          String username = headers.get(USERNAME_KEY);
          String password = headers.get(PASSWORD_KEY);
  
          // 验证失败直接返回UNAUTHENTICATED错误
          if (username == null || password == null || !validateCredentials(username, password)) {
              call.close(Status.UNAUTHENTICATED.withDescription("用户名或密码无效"), new Metadata());
              return new ServerCall.Listener<>() {};
          }
  
          // 验证通过，继续处理业务请求
          return next.startCall(call, headers);
      }
  }
  

• 2. 启动服务时注册拦截器
     在构建gRPC服务时，把上面写的拦截器加进去：

  import io.grpc.Server;
  import io.grpc.ServerBuilder;
  
  public class GrpcServer {
      public static void main(String[] args) throws IOException, InterruptedException {
          int port = 50051;
          Server server = ServerBuilder.forPort(port)
                  // 替换成你自己的业务服务实现类
                  .addService(new YourBusinessServiceImpl())
                  // 注册认证拦截器
                  .intercept(new AuthInterceptor())
                  .build()
                  .start();
  
          System.out.println("服务启动成功，监听端口：" + port);
          server.awaitTermination();
      }
  }
  

注意：如果要保证密码传输安全，建议配合TLS加密使用，可通过ServerBuilder.useTransportSecurity()方法配置SSL证书，避免明文传输。

Python客户端需要把用户名密码放到gRPC的Metadata中，随请求一起发送给服务端：

• 1. 基础无加密连接示例

  import grpc
  # 导入你根据proto文件生成的Python代码
  import your_service_pb2
  import your_service_pb2_grpc
  
  def run():
      # 建立无加密连接（服务端用TLS的话要换成secure_channel）
      with grpc.insecure_channel('localhost:50051') as channel:
          # 创建服务Stub对象
          stub = your_service_pb2_grpc.YourBusinessServiceStub(channel)
          
          # 构造Metadata，key要和服务端拦截器定义的完全一致
          metadata = [('username', 'admin'), ('password', '123456')]
          
          try:
              # 调用服务方法时传入metadata
              response = stub.YourBusinessMethod(your_service_pb2.YourRequest(), metadata=metadata)
              print("收到响应：", response.result)
          except grpc.RpcError as e:
              if e.code() == grpc.StatusCode.UNAUTHENTICATED:
                  print("认证失败：", e.details())
              else:
                  print("请求出错：", e)
  
  if __name__ == '__main__':
      run()
  

• 2. 带TLS加密的连接示例
     如果服务端启用了TLS，客户端需要配置证书：

  with grpc.secure_channel(
          'localhost:50051',
          grpc.ssl_channel_credentials(open('server_certificate.crt', 'rb').read())
  ) as channel:
      # 后续Stub创建和请求逻辑和上面一致
      stub = your_service_pb2_grpc.YourBusinessServiceStub(channel)
      # ...
  

注意：Metadata的key区分大小写，一定要和服务端定义的完全匹配，否则服务端会拿不到认证信息导致失败。

内容的提问来源于stack exchange，提问作者creedqq