gRPC安全通信与证书轮换（mTLS/通道凭证/窗口）最佳实践

背景与价值服务间通信需要双向认证与可追溯身份。结合mTLS、Issuer白名单与轮换窗口，可以在不中断的情况下安全更新证书。统一规范Issuer白名单与SAN校验：仅接受受控CA签发，主体与服务标识一致。有效期窗口：在新旧证书共存窗口内允许双签并逐步切换。通道凭证：携带额外的租户或角色信息用于授权与审计。核心实现证书与Issuer校验type Cert = { issuer: string; subject: string; notBefore: number; notAfter: number; san: string[] }

const allowIssuers = new Set(['CN=Corp-CA','CN=Mesh-CA'])

function timeNow(): number { return Date.now() }

function certAllowed(c: Cert): boolean {

if (!allowIssuers.has(c.issuer)) return false

if (c.notBefore > timeNow() || c.notAfter < timeNow()) return false

return c.san.some(s => s.startsWith('spiffe://') || s.startsWith('dns:'))

}

轮换窗口策略type Pair = { current: Cert; next?: Cert; windowMs: number }

function withinWindow(p: Pair): boolean {

if (!p.next) return false

const start = p.current.notAfter - p.windowMs

return timeNow() >= start && timeNow() <= p.current.notAfter

}

function acceptCert(p: Pair, presented: Cert): boolean {

if (certAllowed(presented)) return true

if (withinWindow(p) && p.next && presented.subject === p.next.subject && allowIssuers.has(presented.issuer)) return true

return false

}

通道凭证校验type ChannelCred = { tenant: string; role: string }

function validTenant(t: string): boolean { return /^[a-z0-9-]{3,32}$/.test(t) }

function validRole(r: string): boolean { return /^[A-Z_]{3,32}$/.test(r) }

function credAllowed(c: ChannelCred): boolean { return validTenant(c.tenant) && validRole(c.role) }

落地建议仅接受受控Issuer签发的证书，并校验SAN包含服务标识（如SPIFFE或DNS）。在轮换窗口内同时接受新旧证书，确保平滑切换并记录审计。在通道中携带租户与角色凭证，用于细粒度授权与追踪。验证清单Issuer是否命中白名单、有效期是否覆盖当前时间。SAN是否包含受控标识，主体是否匹配服务身份。轮换窗口策略是否生效并记录切换日志。