使用透明协商时验证 OpenSSL 连接

Question

当使用带有非阻塞套接字的 OpenSSL 时，可以方便地使用透明协商模式，其中通过在尚未安全连接的 SSL 上下文上调用 SSL_write 来启动协商，然后处理产生的错误（通常是 SSL_WANT_READ）以读取来自输出 BIO 的握手包并通过传输发送。

但是，如果没有对 SSL_do_handshake 的显式（阻塞）调用，我不清楚何时尝试验证证书。

我是否只需要在 SSL_write 第一次返回成功后立即进行证书检查？还是有更好的信号？

Answer 1

在您发起协商之前，您应该使用SSL_set_verify() 设置验证模式和可选的验证回调。在回调中处理您需要的任何其他特定于应用程序的验证。

那么，如果SSL_write()和/或SSL_read()成功返回，就知道证书已经通过验证了。