使用Go语言和TLS构建安全连接：自签名证书和双向认证-Golang-PHP中文网

使用Go语言和TLS构建安全连接：自签名证书和双向认证

花韻仙語

发布： 2025-09-15 17:56:11

原创

164人浏览过

使用go语言和tls构建安全连接：自签名证书和双向认证

本文旨在指导开发者如何在完全控制的客户端和服务器之间，通过不安全的网络建立安全的双向认证连接。文章将介绍如何使用OpenSSL创建自签名证书，并结合Go语言的TLS库实现加密通信，同时提供验证对方身份的方案，帮助读者理解和实践安全连接的搭建过程。

在网络通信中，安全性至关重要。当客户端和服务器通过不可信的网络进行通信时，我们需要采取措施来保护数据的机密性和完整性，并确保通信双方的身份得到验证。传输层安全协议（TLS）是一种广泛使用的安全协议，它提供了加密通信和身份验证的功能。本文将介绍如何使用Go语言的crypto/tls包和自签名证书来建立安全的双向认证连接。

生成自签名证书

由于我们完全控制客户端和服务器，因此可以使用自签名证书。这意味着我们不需要从证书颁发机构（CA）购买证书，而是自己生成证书。虽然自签名证书不如由受信任的CA签名的证书那样被广泛信任，但在受控环境中，它们提供了一种简单而有效的安全解决方案。

我们可以使用OpenSSL来生成自签名证书。以下是在客户端和服务器上都需要执行的步骤：

立即学习“go语言免费学习笔记（深入）”；

生成私钥：

openssl genrsa -des3 -out server.key 1024

登录后复制

创建证书签名请求（CSR）：
```
openssl req -new -key server.key -out server.csr
```
登录后复制

移除密码保护（可选，但建议）：

cp server.key server.key.org
openssl rsa -in server.key.org -out server.key

登录后复制

使用私钥签署CSR以创建自签名证书：
```
openssl x509 -req -days 365 -in server.csr -signkey server.key -out server.crt
```
登录后复制
server.key是私钥文件，server.crt是证书文件。将这些文件分别命名为client.key和client.crt用于客户端。

SEEK.ai
AI驱动的智能数据解决方案，询问您的任何数据并立即获得答案

128

查看详情

使用Go的TLS库

生成证书后，我们可以使用Go的crypto/tls包来建立安全的连接。

首先，创建一个tls.Config结构体。一个tls.Config可以同时用于客户端和服务器，但有些选项只需要在其中一方设置。

import (
    "crypto/tls"
    "crypto/x509"
    "io/ioutil"
    "log"
)

func createTLSConfig(certFile, keyFile string) (*tls.Config, error) {
    cert, err := tls.LoadX509KeyPair(certFile, keyFile)
    if err != nil {
        return nil, err
    }

    config := &tls.Config{
        Certificates: []tls.Certificate{cert},
        ClientAuth:   tls.RequireAnyClientCert, // 在服务器端需要设置
        InsecureSkipVerify: true,             // 在客户端需要设置，生产环境不建议
    }
    return config, nil
}

登录后复制

解释:

tls.LoadX509KeyPair(cert, key): 从证书和私钥文件加载密钥对。
Certificates: []tls.Certificate{cert}: 将加载的证书添加到配置中。
ClientAuth: tls.RequireAnyClientCert: (仅服务器端) 要求客户端提供证书。
InsecureSkipVerify: true: (仅客户端) 跳过服务器证书的验证。警告：在生产环境中，不应该跳过证书验证。 应该使用受信任的CA证书或将服务器的证书添加到客户端的信任列表中。

服务器端

在服务器端，创建一个TLS监听器：

import (
    "crypto/tls"
    "log"
    "net"
)

func main() {
    config, err := createTLSConfig("server.crt", "server.key")
    if err != nil {
        log.Fatalf("无法创建 TLS 配置: %v", err)
    }

    listener, err := tls.Listen("tcp", ":4443", config)
    if err != nil {
        log.Fatalf("无法创建 TLS 监听器: %v", err)
    }
    defer listener.Close()

    log.Println("服务器监听在 :4443")

    for {
        conn, err := listener.Accept()
        if err != nil {
            log.Printf("接受连接失败: %v", err)
            continue
        }
        go handleConnection(conn) // 处理连接
    }
}

func handleConnection(conn net.Conn) {
    defer conn.Close()
    // 在这里处理连接逻辑
    log.Printf("客户端连接来自: %s", conn.RemoteAddr())
}

登录后复制

客户端

在客户端，使用tls.Dial连接到服务器：

import (
    "crypto/tls"
    "log"
    "net"
)

func main() {
    config, err := createTLSConfig("client.crt", "client.key")
    if err != nil {
        log.Fatalf("无法创建 TLS 配置: %v", err)
    }

    conn, err := tls.Dial("tcp", "localhost:4443", config)
    if err != nil {
        log.Fatalf("无法连接到服务器: %v", err)
    }
    defer conn.Close()

    log.Println("成功连接到服务器")
    // 在这里与服务器通信
}

登录后复制

验证对方身份

虽然上述代码创建了一个加密连接，但它并没有验证对方的身份。最简单的方法是让每个服务器拥有对方的公钥，并将其与连接的服务器的公钥进行比较。

import (
    "bytes"
    "crypto/tls"
    "crypto/x509"
    "log"
    "net"
)

func verifyClientCertificate(conn net.Conn, expectedPublicKey []byte) bool {
    tlsConn, ok := conn.(*tls.Conn)
    if !ok {
        log.Println("连接不是 TLS 连接")
        return false
    }

    if err := tlsConn.Handshake(); err != nil {
        log.Printf("握手失败: %v", err)
        return false
    }

    state := tlsConn.ConnectionState()
    if len(state.PeerCertificates) == 0 {
        log.Println("没有客户端证书")
        return false
    }

    pubKey, err := x509.MarshalPKIXPublicKey(state.PeerCertificates[0].PublicKey)
    if err != nil {
        log.Printf("无法序列化公钥: %v", err)
        return false
    }

    return bytes.Equal(pubKey, expectedPublicKey)
}

登录后复制

解释:

conn.(*tls.Conn): 将net.Conn转换为tls.Conn。
tlsConn.Handshake(): 确保握手已完成，没有错误。
state.PeerCertificates[0].PublicKey: 获取对等方的证书链中的第一个证书(客户端证书)的公钥。
x509.MarshalPKIXPublicKey(): 将公钥序列化为字节数组。
bytes.Equal(pubKey, expectedPublicKey): 将序列化的公钥与预期的公钥进行比较。

在服务器端，在handleConnection函数中调用verifyClientCertificate函数，传入连接对象和预期的客户端公钥。在客户端，则需要在连接建立后，获取服务器的公钥并进行验证。

注意事项

生产环境的证书验证: 在生产环境中，不要跳过证书验证 (InsecureSkipVerify: true)。使用受信任的CA签名的证书，或者将服务器的证书添加到客户端的信任列表中。
密钥安全: 安全地存储和管理私钥。
证书过期: 自签名证书有过期时间。定期更新证书。
双向认证: 确保客户端和服务器都验证对方的身份。
错误处理: 在代码中添加适当的错误处理。