能否将autocert.Manager的GetCertificate适配到gRPC客户端/服务端？

当然可以！autocert.Manager的GetCertificate方法完全能适配到gRPC服务端，还能自动处理证书续期的问题。你之前的代码有个小问题：一次性获取证书的方式没法应对证书过期的情况，正确的做法是让gRPC动态获取证书。下面是调整后的完整实现：

package main

import (
    "log"
    "net"
    "net/http"
    "crypto/tls"

    "google.golang.org/grpc"
    "google.golang.org/grpc/credentials"
    "golang.org/x/crypto/acme/autocert"
)

func main() {
    // 初始化autocert管理器
    certManager := &autocert.Manager{
        Cache:      autocert.DirCache("tls"), // 缓存证书到本地目录
        Prompt:     autocert.AcceptTOS,      // 自动接受ACME服务条款
        HostPolicy: autocert.HostWhitelist("example.com"), // 允许的域名
    }

    // 启动HTTP服务监听80端口，用于ACME的HTTP-01挑战验证
    go func() {
        log.Fatal(http.ListenAndServe(":http", certManager.HTTPHandler(nil)))
    }()

    // 配置TLS，将autocert的GetCertificate方法注入到tls.Config中
    tlsConfig := &tls.Config{
        GetCertificate: certManager.GetCertificate, // 让gRPC动态获取证书
        NextProtos:     []string{"h2"},             // 指定HTTP/2，gRPC默认使用该协议
    }
    // 生成gRPC可用的凭证
    grpcCreds := credentials.NewTLS(tlsConfig)

    // 启动gRPC服务监听443端口
    listener, err := net.Listen("tcp", ":443")
    if err != nil {
        log.Fatalf("Failed to start listener: %v", err)
    }
    grpcServer := grpc.NewServer(grpc.Creds(grpcCreds))

    // 注册你的gRPC服务实现（这里替换成你自己的服务）
    // pb.RegisterYourServiceServer(grpcServer, &yourServiceImplementation{})
    reflection.Register(grpcServer) // 注册反射服务，方便调试

    log.Println("gRPC server running on :443")
    if err := grpcServer.Serve(listener); err != nil {
        log.Fatalf("Failed to serve gRPC: %v", err)
    }
}

关键要点说明 #

• 动态证书获取：不要一次性调用GetCertificate获取证书，而是把这个方法直接赋值给tls.Config.GetCertificate。这样gRPC会在每个新连接建立时自动调用它，证书续期后也能自动用上新证书，无需重启服务。
• HTTP-01挑战服务：必须启动80端口的HTTP服务，这是ACME协议（比如Let's Encrypt颁发证书）验证域名所有权的必要步骤，不能省略。
• HTTP/2协议指定：gRPC默认基于HTTP/2通信，在tls.Config中设置NextProtos: []string{"h2"}可以确保TLS握手时协商正确的协议，避免兼容性问题。

关于gRPC客户端的补充 #

如果是gRPC客户端需要适配，通常不需要用autocert.Manager——客户端只需要信任服务端的证书即可（比如Let's Encrypt的根证书已经预装在大多数系统中）。如果是自定义CA的场景，你可以配置客户端的tls.Config，通过RootCAs字段添加信任的CA证书，确保客户端能验证服务端证书的合法性。

内容的提问来源于stack exchange，提问作者Gert Cuykens