如何用Node-OPCUA连接未知securityMode/securityPolicy的OPC UA服务器？

你当前的思路其实是贴合OPC UA规范核心逻辑的——先通过无安全的Discovery通道获取端点列表，再选择合适的安全参数建立正式连接，但代码可以在结构清晰度、健壮性上做优化，更贴合规范流程。

先明确OPC UA规范里的标准步骤：

1. 连接到服务器的Discovery端点（通常是不带安全的opc.tcp://<server>:<port>/discovery）
2. 获取完整的EndpointDescription列表
3. 根据业务需求选择合适的端点（比如优先选安全级别最高的，或者匹配客户端支持的安全模式/策略）
4. 使用选中的端点参数建立正式的SecureChannel

下面是优化后的Node.js实现（基于node-opcua库），代码结构更清晰，错误处理更完善：

const opcua = require("node-opcua");
const { SecurityPolicy, MessageSecurityMode } = opcua;

/**
 * 从Discovery端点获取服务器所有可用端点
 * @param {string} discoveryUrl - 服务器的Discovery地址，如opc.tcp://localhost:4840/discovery
 * @returns {Promise<opcua.EndpointDescription[]>}
 */
async function fetchServerEndpoints(discoveryUrl) {
    const client = new opcua.OPCUAClient({
        // Discovery阶段使用无安全配置，符合规范默认要求
        securityMode: MessageSecurityMode.NONE,
        securityPolicy: SecurityPolicy.None,
        connectionStrategy: { maxRetry: 3 }
    });

    try {
        await client.connect(discoveryUrl);
        const endpoints = await client.getEndpoints();
        // 过滤掉无效或缺失关键参数的端点（可选但推荐）
        const validEndpoints = endpoints.filter(endpoint => 
            endpoint.securityPolicyUri && endpoint.securityMode !== undefined
        );
        return validEndpoints;
    } catch (err) {
        throw new Error(`获取端点失败: ${err.message}`);
    } finally {
        // 确保无论成功失败都断开Discovery连接
        await client.disconnect();
    }
}

/**
 * 根据业务规则选择合适的端点（示例：优先选择安全级别最高的端点）
 * @param {opcua.EndpointDescription[]} endpoints - 端点列表
 * @returns {opcua.EndpointDescription|null}
 */
function selectOptimalEndpoint(endpoints) {
    if (!endpoints || endpoints.length === 0) return null;

    // 安全级别权重：SignAndEncrypt > Sign > None
    const securityPriority = {
        [MessageSecurityMode.SIGNANDENCRYPT]: 3,
        [MessageSecurityMode.SIGN]: 2,
        [MessageSecurityMode.NONE]: 1
    };

    // 先按安全模式排序，同模式下优先选非None的安全策略
    return endpoints.sort((a, b) => {
        const modeDiff = securityPriority[b.securityMode] - securityPriority[a.securityMode];
        if (modeDiff !== 0) return modeDiff;
        return a.securityPolicyUri === SecurityPolicy.None ? -1 : 1;
    })[0];
}

/**
 * 使用选中的端点建立正式连接
 * @param {opcua.EndpointDescription} selectedEndpoint - 选中的端点
 * @returns {Promise<opcua.OPCUAClient>}
 */
async function establishSecureConnection(selectedEndpoint) {
    if (!selectedEndpoint) throw new Error("未选择有效的端点");

    const clientOptions = {
        endpointUrl: selectedEndpoint.endpointUrl,
        securityMode: selectedEndpoint.securityMode,
        securityPolicy: SecurityPolicy.fromUri(selectedEndpoint.securityPolicyUri),
        connectionStrategy: { maxRetry: 6 },
        keepSessionAlive: true,
        endpoint_must_exist: true // 正式连接时强制校验端点有效性
    };

    const client = new opcua.OPCUAClient(clientOptions);
    try {
        await client.connect();
        console.log(`成功建立安全连接：安全模式=${selectedEndpoint.securityMode}, 安全策略=${selectedEndpoint.securityPolicyUri}`);
        return client;
    } catch (err) {
        throw new Error(`连接失败: ${err.message}`);
    }
}

// 主流程示例
async function main() {
    try {
        // 1. 获取端点列表
        const discoveryUrl = "opc.tcp://your-server-address:4840/discovery";
        const endpoints = await fetchServerEndpoints(discoveryUrl);
        console.log(`获取到${endpoints.length}个可用端点`);

        // 2. 选择最优端点
        const optimalEndpoint = selectOptimalEndpoint(endpoints);
        if (!optimalEndpoint) {
            console.error("未找到符合要求的端点");
            return;
        }

        // 3. 建立正式连接
        const client = await establishSecureConnection(optimalEndpoint);
        // 后续可执行读写节点、订阅等操作...

        // 业务完成后记得断开连接
        // await client.disconnect();
    } catch (err) {
        console.error(err.message);
    }
}

// 执行主流程
main();

关键优化点说明： #

• 职责分离：把端点获取、端点选择、连接建立拆分为独立函数，代码更易维护和复用
• 规范Discovery流程：明确使用服务器的专用Discovery端点获取列表，而非直接连接业务端点，完全符合OPC UA规范
• 健壮的错误处理：使用async/await替代回调，错误捕获更清晰，确保Discovery连接必被释放
• 可定制的端点选择：提供了安全优先的选择逻辑，你可以根据实际需求修改（比如匹配客户端支持的特定安全策略）
• 严格参数校验：正式连接时开启endpoint_must_exist，避免无效连接请求

额外注意：部分服务器可能将业务端点与Discovery端点设为同一地址，但规范上推荐使用独立的/discovery路径；如果服务器不支持无安全的Discovery通道，你可能需要提前配置客户端支持的最低安全参数尝试连接。

内容的提问来源于stack exchange，提问作者bginnHH