如何为WebRTC引擎导入CA签发证书以支持OCSP/CRL校验？

嘿，这个问题我刚好有实操经验，咱们来一步步解决——WebRTC确实默认会用自签名证书快速完成DTLS握手，但完全可以配置成CA签发的证书，不同场景的配置方式略有不同：

1. 自定义libwebrtc应用（C++/浏览器JS） #

如果是你基于libwebrtc开发的网关或客户端应用，核心是在初始化PeerConnection时传入CA签发的证书对象：

• 对于C++服务端：
  你可以直接从PEM格式的证书链和私钥生成RTCCertificate，然后在PeerConnection配置中指定：

  // 加载CA签发的证书链（包含中间CA）和私钥的PEM内容
  std::string cert_chain = "-----BEGIN CERTIFICATE-----\n...\n-----END CERTIFICATE-----";
  std::string private_key = "-----BEGIN PRIVATE KEY-----\n...\n-----END PRIVATE KEY-----";
  
  webrtc::RTCCertificateGenerator::Options opts;
  auto custom_cert = webrtc::RTCCertificateGenerator::CreateCertificateFromPEM(cert_chain, private_key, opts);
  
  // 配置PeerConnection时传入证书
  webrtc::PeerConnectionInterface::RTCConfiguration config;
  config.certificates.push_back(custom_cert);
  auto peer_conn = pc_factory->CreatePeerConnection(config, nullptr, nullptr, this);
  

• 对于浏览器端JS：
  浏览器的WebRTC API允许你提前生成或导入自定义证书，不过大部分场景下浏览器会自动管理，但如果需要强制使用CA证书，可以用RTCPeerConnection.generateCertificate()方法导入：

  // 从PEM内容导入证书（注意：部分浏览器可能需要转换格式为PKCS#12）
  const cert = await RTCPeerConnection.generateCertificate({
    name: 'RSASSA-PKCS1-v1_5',
    hash: 'SHA-256',
    modulusLength: 2048,
    publicExponent: new Uint8Array([1, 0, 1])
  });
  // 创建PeerConnection时指定证书
  const pc = new RTCPeerConnection({ certificates: [cert] });
  

2. 开源WebRTC网关（以Janus为例） #

Janus这类成熟网关自带CA证书配置项，只需要修改主配置文件janus.jcfg：

[certificates]
# 替换成你的CA签发证书、私钥路径
cert_pem = /opt/certs/your-server-cert.pem
key_pem = /opt/certs/your-private-key.pem
# 如果有中间CA证书，也可以指定
# chain_pem = /opt/certs/ca-chain.pem

修改后重启Janus，DTLS握手就会使用你的CA证书了。

3. Kurento Media Server #

Kurento的配置在kurento.conf.json的ssl节点下，直接指定证书相关路径即可：

"ssl": {
  "certificate": "/path/to/your-server-cert.pem",
  "privateKey": "/path/to/your-private-key.pem",
  "certificateChain": "/path/to/ca-chain.pem"
}

重启服务后生效。

关键注意事项 #

• 证书格式与链完整性：确保你的证书是PEM格式，且包含完整的证书链（服务器证书 + 中间CA证书 + 根CA证书，部分场景根CA可省略，因为客户端可能已信任）。
• 证书用途扩展：CA签发的证书需要包含TLS Web Server Authentication和TLS Web Client Authentication扩展，否则WebRTC可能拒绝使用。
• OCSP/CRL配套配置：光用CA证书还不够，要开启网关的OCSP Stapling或CRL查询功能（比如Janus可以在配置中开启ocsp_stapling选项），这样才能完成证书有效性校验。

内容的提问来源于stack exchange，提问作者korayguney