1. gRPC 概述
1.1 gRPC 的定义
gRPC 是由 Google 开源的高性能、跨语言的远程过程调用（RPC）框架。它基于 HTTP/2 协议传输，使用 Protocol Buffers（Protobuf） 作为接口定义语言（IDL）和序列化工具。gRPC 允许客户端应用像调用本地对象方法一样直接调用另一台机器上的服务端方法，屏蔽了网络通信、序列化与反序列化的复杂性。
核心要点：gRPC 并非简单的 HTTP API 封装，而是一套完整的 RPC 生态系统，包含服务定义、代码生成、负载均衡、健康检查、认证拦截器等生产级特性。
1.2 gRPC 与 REST 对比
REST 是当前最流行的 API 设计风格，而 gRPC 在微服务内部通信场景下正快速替代 REST。两者在多个维度存在显著差异：
| 对比维度 | gRPC | REST |
|---|---|---|
| 底层协议 | HTTP/2（多路复用、头部压缩） | HTTP/1.1 或 HTTP/2 |
| 数据格式 | Protocol Buffers（二进制，强类型） | JSON / XML（文本，弱类型） |
| 接口定义 | .proto 文件 + 代码生成 |
OpenAPI / Swagger 文档（可选） |
| 通信模式 | 一元、服务端流、客户端流、双向流 | 请求-响应（单向） |
| 性能 | 高（二进制序列化 + HTTP/2 多路复用） | 中（文本序列化 + 队头阻塞） |
| 浏览器支持 | 需 gRPC-Web 代理 | 原生支持 |
| 适用场景 | 微服务内部、低延迟、流式处理 | 外部 API、Web 前端、开放接口 |
审计视角：REST 的 JSON 负载在审计日志中可直接阅读，而 gRPC 的 Protobuf 二进制负载需要额外解码工具。审计基线中必须包含对 Protobuf 消息的解析与校验规则。
1.3 gRPC 核心优势
1.3.1 高性能
- HTTP/2 多路复用：单个 TCP 连接可并行处理多个请求，消除 HTTP/1.1 的队头阻塞。
- Protobuf 二进制序列化：体积比 JSON 小 3~10 倍，序列化/反序列化速度提升 2~5 倍。
- 头部压缩（HPACK）：减少重复元数据开销，降低延迟。
1.3.2 双向流（Bidirectional Streaming）
gRPC 原生支持四种通信模式，其中双向流是 REST 无法直接实现的特性：
- 一元 RPC：客户端发送一个请求，服务端返回一个响应。
- 服务端流 RPC：客户端发送一个请求，服务端持续返回多个响应。
- 客户端流 RPC：客户端持续发送多个请求，服务端返回一个响应。
- 双向流 RPC：双方独立发送和接收消息，实现全双工通信。
1.3.3 多语言支持
gRPC 通过 Protobuf 代码生成器，可自动生成 11 种主流语言的客户端/服务端代码：
- 官方支持：C++、Java、Python、Go、Ruby、C#、Node.js、PHP、Dart、Objective-C、Swift。
- 社区支持：Rust、Elixir、Kotlin、Scala 等。
审计注意事项：多语言环境下的 gRPC 实现可能存在安全差异。例如，Go 和 Java 的 TLS 配置默认值不同，审计基线需针对每种语言的服务端做独立检查。
1.4 gRPC 典型应用场景
gRPC 在以下场景中展现出不可替代的优势，也是审计基线需要重点覆盖的领域：
| 应用场景 | 说明 | 审计关注点 |
|---|---|---|
| 微服务间通信 | 服务网格（Service Mesh）内部服务调用，如 Istio、Envoy 集成 | mTLS 双向认证、服务身份验证、调用链追踪 |
| 实时流式处理 | IoT 设备数据上报、金融行情推送、日志实时采集 | 流控策略、消息完整性校验、背压机制 |
| 移动端与后端通信 | 通过 gRPC-Web 或 gRPC-Android/iOS 实现低延迟交互 | Token 鉴权、请求频率限制、数据脱敏 |
| 多语言异构系统集成 | 不同技术栈（Go + Java + Python）之间的服务互调 | Protobuf 版本兼容性、接口变更审计 |
| 高性能计算与 AI 推理 | TensorFlow Serving、NVIDIA Triton 等推理框架使用 gRPC | 大消息体传输限制、超时配置、资源隔离 |
审计基线覆盖建议：上述五个场景几乎涵盖了企业级 gRPC 部署的全部形态。审计基线应针对每个场景提取共性安全要求（如 TLS 配置、认证机制）和场景特有要求（如流控、消息大小限制）。
学习路径提示：理解 gRPC 的核心优势和应用场景是后续审计基线的基础。在进入具体基线条目之前，建议先掌握 Protobuf 语法和 gRPC 服务定义文件的编写，因为审计规则将直接基于
.proto 文件中的服务和方法定义进行检测。