如何让 Go 接受用于 TLS 客户端身份验证的自签名证书？答案

【问题标题】：How can I make Go accept a self-signed certificate for TLS client authentication?如何让 Go 接受用于 TLS 客户端身份验证的自签名证书？
【发布时间】：2016-07-18 22:35:32
【问题描述】：

我正在使用 AWS API Gateway 和 Go 后端。为了确保所有连接都通过 API Gateway，我需要使用 TLS 客户端身份验证（也称为双向身份验证，相互身份验证）。

原则上，这适用于：

func enableClientAuth(server *http.Server, clientCertFile string) error {
    clientCert, err := ioutil.ReadFile(clientCertFile)
    if err != nil {
        return err
    }
    caCertPool := x509.NewCertPool()
    caCertPool.AppendCertsFromPEM(clientCert)

    tlsConfig := &tls.Config{
        ClientAuth: tls.RequireAndVerifyClientCert,
        ClientCAs:  caCertPool,
    }
    tlsConfig.BuildNameToCertificate()
    server.TLSConfig = tlsConfig
    return nil
}

我遇到的问题是这个错误：

tls: failed to verify client's certificate: x509: certificate signed by unknown authority（可能是因为“x509: invalid signature: parent certificate cannot sign this kind of certificate”，同时尝试验证候选机构证书“ApiGateway”）

这似乎是因为客户端证书是自签名的，但不是 CA 证书，Go 不会接受签名。（这不会破坏自签名证书的目的吗？我见过的大多数自签名证书都不是 CA 证书。）不幸的是，我无法控制客户端证书的生成或发送方式。这一切都由 AWS 完成。我可以做些什么来获取 ClientCAs 证书池中的证书，这将导致 Go 接受 API Gateway 客户端证书？

示例客户端证书：

【问题讨论】：

您是否加载了自签名证书并将其标记为IsCA，例如stackoverflow.com/questions/22666163/…
来自客户端的证书是根证书还是子证书？
此密钥无法自行验证：来自RFC "如果版本 3 证书中不存在基本约束扩展，或者存在扩展但cA boolean 未断言，则认证的公钥不得用于验证证书签名"
@JohnWeldon 谢谢！我见过那个问题，但它是在谈论生成证书——我没有考虑在加载客户端证书后修改它。它比 IsCA 稍微复杂一点，但你把我引向了它。

标签： amazon-web-services ssl go x509 aws-api-gateway

【解决方案1】：

@JohnWeldon 的评论让我找到了解决方案，即我需要在加载客户端证书结构后对其进行修改。这需要解码 PEM 并解析出证书。对于 API Gateway 客户端证书，我必须将 BasicConstraintsValid 和 IsCA 设置为 true，将 KeyUsage 设置为 KeyUsageCertSign；对于我本地生成的证书，我只需要后两个。在我的问题中修改enableClientAuth() func：

func enableClientAuth(server *http.Server, clientCertFile string) error {
    pemBytes, err := ioutil.ReadFile(clientCertFile)
    if err != nil {
        return err
    }

    pemBlock, _ := pem.Decode(pemBytes)
    clientCert, err := x509.ParseCertificate(pemBlock.Bytes)
    if err != nil {
        return err
    }

    clientCert.BasicConstraintsValid = true
    clientCert.IsCA = true
    clientCert.KeyUsage = x509.KeyUsageCertSign

    caCertPool := x509.NewCertPool()
    caCertPool.AddCert(clientCert)

    tlsConfig := &tls.Config{
        ClientAuth: tls.RequireAndVerifyClientCert,
        ClientCAs:  caCertPool,
    }
    tlsConfig.BuildNameToCertificate()
    server.TLSConfig = tlsConfig
    return nil
}

【讨论】：