使用TLS加密可保障Golang RPC通信安全。通过crypto/tls包配置服务器证书和私钥，客户端验证服务器身份，实现数据传输加密。生成自签名证书适用于测试环境，生产环境应使用可信CA签发证书。可通过ClientAuth配置启用双向TLS认证，确保客户端身份合法性。对于更复杂场景，推荐使用gRPC，其基于HTTP/2并默认支持TLS，提供更强的安全性与跨语言能力。关键在于妥善管理证书生命周期，防止私钥泄露，避免中间人攻击。
在使用Golang进行RPC通信时，安全加密是保障数据传输完整性和机密性的关键环节。Go标准库中的net/rpc本身不提供加密机制，因此需要结合TLS（Transport Layer Security）来实现安全的RPC通信。以下是具体实现方式和注意事项。
使用TLS加密RPC通信
Go的net/rpc支持通过crypto/tls包启用TLS加密。你需要准备服务器端的证书（cert.pem）和私钥（key.pem），客户端则需验证服务器身份（可选双向认证）。
服务器端示例代码：
package main
<p>import (
"crypto/tls"
"net"
"net/rpc"
)</p><p>type Arith int</p><p><span>立即学习</span>“<a href="https://pan.quark.cn/s/00968c3c2c15" style="text-decoration: underline !important; color: blue; font-weight: bolder;" rel="nofollow" target="_blank">go语言免费学习笔记（深入）</a>”；</p><p>func (t <em>Arith) Multiply(args </em>Args, reply <em>int) error {
</em>reply = args.A * args.B
return nil
}</p><p>type Args struct{ A, B int }</p><p>func main() {
arith := new(Arith)
rpc.Register(arith)</p><pre class='brush:php;toolbar:false;'>cert, err := tls.LoadX509KeyPair("cert.pem", "key.pem")
if err != nil {
panic(err)
}
config := &tls.Config{Certificates: []tls.Certificate{cert}}
listener, err := tls.Listen("tcp", ":1234", config)
if err != nil {
panic(err)
}
defer listener.Close()
for {
conn, err := listener.Accept()
if err != nil {
continue
}
go rpc.ServeConn(conn)
}}
客户端连接代码：
package main
<p>import (
"crypto/tls"
"crypto/x509"
"net/rpc"
)</p><p>func main() {
cert, err := x509.SystemCertPool()
if err != nil {
panic(err)
}
// 或者加载自定义CA证书
// cert := x509.NewCertPool()
// ca, _ := ioutil.ReadFile("ca-cert.pem")
// cert.AppendCertsFromPEM(ca)</p><pre class='brush:php;toolbar:false;'>config := &tls.Config{RootCAs: cert}
conn, err := tls.Dial("tcp", "localhost:1234", config)
if err != nil {
panic(err)
}
defer conn.Close()
client := rpc.NewClient(conn)
defer client.Close()
args := &Args{7, 8}
var reply int
err = client.Call("Arith.Multiply", args, &reply)
if err != nil {
panic(err)
}
println("Result:", reply)}
生成自签名证书
开发或测试环境中，可以使用OpenSSL生成自签名证书：
openssl genrsa -out key.pem 2048openssl req -new -x509 -key key.pem -out cert.pem -days 365
生产环境建议使用由可信CA签发的证书，避免中间人攻击。
启用双向TLS认证（mTLS）
若需客户端也提供证书进行身份验证，可在服务器配置中设置ClientAuth：
config := &tls.Config{
Certificates: []tls.Certificate{cert},
ClientAuth: tls.RequireAndVerifyClientCert,
ClientCAs: clientCertPool, // 包含合法客户端证书的CA池
}
客户端在tls.Config中添加自己的证书：
config := &tls.Config{
RootCAs: cert,
Certificates: []tls.Certificate{clientCert},
}
使用gRPC替代原生RPC提升安全性
对于更复杂的场景，推荐使用gRPC。它基于HTTP/2，默认支持TLS，并提供更强的类型安全和跨语言能力。
gRPC服务天然集成TLS配置，只需在grpc.Creds()中传入证书即可：
creds, err := credentials.NewServerTLSFromFile("cert.pem", "key.pem")
if err != nil {
log.Fatal(err)
}
s := grpc.NewServer(grpc.Creds(creds))
基本上就这些。通过TLS加密，无论是标准RPC还是gRPC，都能有效防止窃听和篡改。关键是管理好证书生命周期，避免私钥泄露。安全通信不复杂但容易忽略细节。}
