MagicOnion中的HTTPS/TLS配置指南

MagicOnion中的HTTPS/TLS配置指南

MagicOnion Unified Realtime/API framework for .NET platform and Unity. 项目地址: https://gitcode.com/gh_mirrors/ma/MagicOnion

前言

在现代网络通信中，安全性是至关重要的考量因素。MagicOnion作为一个基于gRPC的.NET RPC框架，提供了完整的HTTPS/TLS支持，确保客户端与服务器之间的通信安全。本文将详细介绍如何在MagicOnion项目中配置HTTPS/TLS加密连接。

服务器端HTTPS配置

MagicOnion服务器端的HTTPS配置完全遵循ASP.NET Core的标准实践。这意味着你可以利用ASP.NET Core提供的丰富功能来保护你的服务。

基本配置方法

在ASP.NET Core中，HTTPS配置通常有以下几种方式：

1. 通过appsettings.json文件配置：

{
  "Kestrel": {
    "Endpoints": {
      "Https": {
        "Url": "https://*:5001",
        "Certificate": {
          "Path": "path/to/cert.pfx",
          "Password": "certpassword"
        }
      }
    }
  }
}

2. 通过代码配置：

builder.WebHost.ConfigureKestrel(serverOptions => {
    serverOptions.Listen(IPAddress.Any, 5001, listenOptions => {
        listenOptions.UseHttps("path/to/cert.pfx", "certpassword");
    });
});

开发环境注意事项

在开发环境中，ASP.NET Core会自动生成并使用开发证书。你可以通过以下命令信任开发证书：

dotnet dev-certs https --trust

客户端HTTPS配置

客户端的HTTPS行为取决于运行环境的不同而有所差异，主要分为两类：

.NET Framework/.NET 8+环境

在这些环境中，证书验证行为与标准的HttpClient一致，使用操作系统提供的证书存储：

• Windows：使用Windows证书存储
• Linux/macOS：使用系统证书存储

Unity环境

在Unity中使用MagicOnion时，推荐使用YetAnotherHttpHandler。这是一个专门为Unity优化的HTTP处理程序，具有自己的证书存储机制。

开发证书的特殊处理

当使用开发证书时，需要在Unity客户端进行额外配置：

var handler = new YetAnotherHttpHandler(new YetAnotherHttpHandlerOptions
{
    // 添加开发证书到信任列表
    ServerCertificateCustomValidationCallback = (message, cert, chain, errors) => 
    {
        if (cert.Issuer.Contains("localhost"))
            return true;
        return errors == System.Net.Security.SslPolicyErrors.None;
    }
});

非加密HTTP连接配置

虽然不推荐在生产环境中使用，但在开发阶段有时需要临时配置非加密的HTTP/2连接（称为h2c）。

服务器端配置

有两种方式配置非加密HTTP/2端点：

1. 通过appsettings.json：

{
  "Kestrel": {
    "Endpoints": {
      "Grpc": {
        "Url": "http://localhost:5000",
        "Protocols": "Http2"
      }
    }
  }
}

2. 通过代码配置：

builder.WebHost.ConfigureKestrel(options => {
    options.ConfigureEndpointDefaults(endpointOptions => {
        endpointOptions.Protocols = HttpProtocols.Http2;
    });
});

客户端配置

客户端连接非加密端点时，只需指定http协议和对应端口：

var channel = GrpcChannel.ForAddress("http://localhost:5000");

对于Unity客户端，还需要额外配置：

var handler = new YetAnotherHttpHandler(new()
{
    Http2Only = true,
});

重要限制说明

1. 协议共存限制：在同一端口上不能同时提供HTTP/1和HTTP/2非加密连接。这是因为非加密HTTP/2需要ALPN进行协议协商，而ALPN需要TLS支持。

2. 多协议支持方案：如果需要同时支持HTTP/1和HTTP/2，可以通过配置Kestrel监听多个端口来实现。

安全建议

1. 生产环境务必使用HTTPS
2. 开发环境也应尽量使用HTTPS，可以利用开发证书简化流程
3. 定期更新服务器证书
4. 考虑使用证书自动续期方案（如Let's Encrypt）

结语

通过合理配置HTTPS/TLS，可以确保MagicOnion服务的通信安全。本文涵盖了从开发到生产环境的各种配置场景，帮助开发者根据实际需求选择最适合的安全方案。记住，安全无小事，即使在开发阶段也应养成良好的安全实践习惯。

MagicOnion Unified Realtime/API framework for .NET platform and Unity. 项目地址: https://gitcode.com/gh_mirrors/ma/MagicOnion