关键是要显式信任自签名ca证书而非绕过验证；需准备cacert.pem（必选）、cert.pem和key.pem（mtls时必选），配置amqplib时传入ca、cert、key及rejectunauthorized: true，并确保rabbitmq服务端正确启用tls监听5671端口。
要让 node.js 的 amqplib 安全连接使用自签名证书的 rabbitmq 集群，关键不是“绕过验证”，而是**显式信任该自签名 ca 证书**。生产环境不建议跳过证书校验，但开发或内网测试时，用自签名证书配合正确配置是常见且安全的做法。
准备证书文件
你需要三个文件（通常由 OpenSSL 生成）：
-
CA 证书（
cacert.pem）：用于验证 RabbitMQ 服务器身份，必须提供 -
客户端证书（
cert.pem）：可选，仅当 RabbitMQ 启用了双向 TLS（mTLS）时需要 -
客户端私钥（
key.pem）：与客户端证书配对，同样仅在启用 mTLS 时需要
若 RabbitMQ 仅启用单向 TLS（只验证服务端），则只需 cacert.pem；若启用了客户端证书认证（推荐生产环境），则三者都要。
配置 amqplib 使用 TLS 连接
使用 amqp:// 或 amqps:// 协议前缀，并传入完整的 TLS 选项对象：
const amqp = require('amqplib');
const fs = require('fs');
<p>const opts = {
ca: [fs.readFileSync('./certs/cacert.pem')], // 必填：信任你的自签名 CA
cert: fs.readFileSync('./certs/cert.pem'), // 双向 TLS 时必填
key: fs.readFileSync('./certs/key.pem'), // 双向 TLS 时必填
// passphrase: 'your-key-password', // 若私钥有密码，需填写
rejectUnauthorized: true // 显式开启证书校验（默认即为 true，不建议设为 false）
};</p><p>// 注意：URL 必须用 amqps://，端口通常是 5671
const connection = await amqp.connect('amqps://rabbitmq.example.com:5671', opts);
</p>
⚠️ 不要用 rejectUnauthorized: false——这等于关闭 TLS 安全性，等同于明文传输，仅限调试且必须加注释警告。
RabbitMQ 服务端需匹配启用 TLS
确保 RabbitMQ 已正确加载证书并监听 TLS 端口（如 5671），其配置（rabbitmq.conf）中应包含：
listeners.ssl.default = 5671 ssl_options.cacertfile = /path/to/testca/cacert.pem ssl_options.certfile = /path/to/server/cert.pem ssl_options.keyfile = /path/to/server/key.pem ssl_options.fail_if_no_peer_cert = false # 单向 TLS 可设为 false；双向则设为 true
若启用客户端证书认证（mTLS），还需在 advanced.config 中配置 auth_mechanisms 并在用户权限中允许 EXTERNAL 认证。
连接时指定 clientProperties 和 credentials（可选增强）
便于运维识别和认证升级：
- 添加
clientProperties: { connection_name: 'my-service-prod' }，在 RabbitMQ Management UI 中可快速定位连接来源 - 若启用 mTLS，加上
credentials: amqp.credentials.external()，明确告知使用证书而非用户名/密码认证
示例片段：
const connection = await amqp.connect('amqps://...', {
...opts,
clientProperties: { connection_name: 'order-service-v2' },
credentials: amqp.credentials.external() // 仅当服务端要求客户端证书认证时启用
});
