在连接上启用 TLS

概述

在本指南中，您可以学习如何使用TLS/SSL 协议，使用.NET框架中底层的TLS/SSL支持。要配置您的连接以使用TLS/SSL，请启用以下任一选项的TLS/SSL设置：连接字符串 或 MongoClientSettings。

启用 TLS

默认情况下，连接到MongoDB实例时TLS是禁用的。您可以通过以下两种不同的方式为连接到您的MongoDB实例启用TLS：在MongoClientSettings 对象上使用属性或在您的连接字符串中通过参数。

var settings = new MongoClientSettings { UseTls = true };
var client = new MongoClient(settings);

var mongoClient = new MongoClient("mongodb://<db_username>:<db_password>@<hostname>:<port>?tls=true");

配置客户端证书

您可以使用MongoClientSettings配置您的X.509证书。以下代码示例使用名为client.p12的证书文件创建一个新的X.509证书对象，该文件由密码mySuperSecretPassword保护。然后代码将此证书添加到MongoClientSettings中的SslSettings.ClientCertificates数组。

var cert = new X509Certificate2("client.p12", "mySuperSecretPassword");
var settings = new MongoClientSettings
{
   SslSettings = new SslSettings
   {
      ClientCertificates = new[] { cert }
   },
   UseTls = true
};

允许不安全的TLS

当启用TLS时，.NET/C#驱动程序会自动验证服务器提供的证书。当测试代码时，您可以禁用证书验证。这被称为不安全TLS。

在使用不安全TLS时，唯一的要求是服务器提供一个X.509证书。即使以下任何一项为真，驱动程序也会接受证书：

• 服务器的主机名和证书上的主题名（或主题备用名）不匹配。

• 证书已过期或尚未生效。

• 证书链中没有受信任的根证书。

• 证书用途对于服务器标识无效。

您可以通过两种方式允许不安全TLS：通过MongoClientSettings对象上的属性或通过连接字符串中的参数。

var settings = new MongoClientSettings
{
   UseTls = true,
   AllowInsecureTls = true
};
var client = new MongoClient(settings);

var mongoClient = new MongoClient("mongodb://<db_username>:<db_password>@<hostname>:<port>?tls=true&tlsInsecure=true");

检查证书吊销

当X.509证书不再可信时——例如，如果其私钥已被泄露——证书颁发机构将吊销该证书。

默认情况下，.NET/C#驱动程序在连接之前不会检查服务器的证书是否已被吊销。您可以使用MongoClientSettings或连接字符串来启用吊销检查。

var settings = new MongoClientSettings
{
   SslSettings = new SslSettings
   {
      CheckCertificateRevocation = true
   },
   UseTls = true
};

var mongoClient = new MongoClient("mongodb://<db_username>:<db_password>@<hostname>:<port>?tls=true&tlsDisableCertificateRevocationCheck=false");

API 文档

要了解更多关于本指南中讨论的任何连接选项，请参阅以下 API 文档

• MongoClientSettings