Api 控制

[Ada19960111]

大家好，是这样的，我之前使用过trojan-go，他提供了grpc的api控制，同时支持配置tls双向验证来保证安全，最近我开始使用xray，我发现xray也支持api操作，但是对于双向验证的配置没有示例，请问我该如何配置入站参数，来启用api的双向验证呢？如果能提供示例的配置文件就太感谢了，官方文档中的教程没有启动安全验证。。。

[Ada19960111]

还有就是，我本来准备加电报群的，结果进去就是一个标号为几的碳原子为手性碳原子，当场圆寂，经过了5分钟的学习，了解了个大概，信心满满选了答案，然后就被封禁了，还联系不到管理员，让我10分钟倒数中悬着的心终于死了，可以的话，麻烦大佬给我解禁一下吧

[maoxikun]

刚试了一下好像可以了，你把"network": "grpc"删掉，dokodemo-door协议类似端口转发，所以可能不需要network？但好像是单向的，客户端可以不使用证书加密，只验证服务端证书，不知道是不是我证书有问题

[Ada19960111]

好的，我晚些试试，使用nginx的方法我试了是可以的，非常感谢提供方案

[Ada19960111]

我尝试去掉network配置项，确实可以使用了，但是也如你所说的那样，他只是启动了tls服务端验证，并没有验证来自客户端的证书，所以很遗憾不能安全通信，这样启动的接口任意一个客户端都可以操作api接口，这或许是一个issues？

[maoxikun]

xray这个貌似只支持单向证书认证，服务端使用证书私钥加密，客户端使用证书验证（可以跳过证书验证），或许可以提一个issue看看

[chise0713]

https://xtls.github.io/config/transport.html#certificateobject

usage: "encipherment" | "verify" | "issue"

xray 有验证选项

[maoxikun]

https://xtls.github.io/config/transport.html#certificateobject

usage: "encipherment" | "verify" | "issue"

xray 有验证选项

即使是配置了verify，客户端没传证书过去也能成功连接

[chise0713]

那可能是这个 verify 只生效于发起连接的客户端。主动验证似乎是 mTLS，不属于正常 TLS 协议。

[maoxikun]

但是nginx那种就是双向认证的，这么来看xray的这种方式确实是不安全的，即使服务端设置了证书，不管什么客户端都能连接