如何在非阻塞套接字上处理 OpenSSL SSL_ERROR_WANT_READ / WANT_WRITE

Question

OpenSSL 库允许使用 SSL_read 从底层套接字读取并使用 SSL_write 向其写入。这些函数可能会返回 SSL_ERROR_WANT_READ 或 SSL_ERROR_WANT_WRITE，具体取决于它们的 ssl 协议需求（例如在重新协商连接时）。

我真的不明白 API 要我对这些结果做什么。

想象一个接受客户端连接的服务器应用程序，设置一个新的 ssl 会话，使底层套接字非阻塞，然后将文件描述符添加到 select/poll/epoll 循环中。

如果客户端发送数据，主循环会将其分派给 ssl_read。如果返回 SSL_ERROR_WANT_READ 或 SSL_ERROR_WANT_WRITE，这里必须做什么？ WANT_READ 可能很容易，因为下一个主循环迭代可能会导致另一个 ssl_read。但是如果 ssl_read 返回 WANT_WRITE，应该用什么参数调用它？为什么图书馆不自己发出调用？

如果服务器想向客户端发送一些数据，它将使用 ssl_write。同样，如果返回 WANT_READ 或 WANT_WRITE 该怎么办？ WANT_WRITE 是否可以通过重复刚刚调用的相同调用来回答？如果返回 WANT_READ，是否应该返回主循环并让 select/poll/epoll 处理这个问题？但是首先应该写的信息呢？

还是应该在写入失败后立即进行读取？那么，当真正的解析器位于主循环中时，什么可以防止从应用程序协议读取字节然后不得不在应用程序外围的某个地方处理它？

Answer 1

SSL_WANT_READ 意味着 SSL 引擎当前无法为您加密，因为它正在等待更多输入数据（作为初始握手的一部分或作为重新协商的一部分），因此，一旦您的下一次读取完成并且您已经推送了通过 SSL 引擎到达的数据，您可以重试写入操作。

同样，SSL_WANT_WRITE 表示 SSL 引擎正在等待您从中提取一些数据并将其发送给对等方。

我早在 2002 年就为 Windows 开发人员日志（重印 here）写了关于使用带有非阻塞和异步套接字的 OpenSSL 的文章，虽然这篇文章表面上是针对 Windows 代码的，但其他平台的原理是相同的。这篇文章附带了一些代码，将 OpenSSL 与 Windows 上的异步套接字集成在一起，并处理整个 SSL_WANT_READ/SSL_WANT_WRITE 问题。

基本上，当您获得 SSL_WANT_READ 时，您需要将出站数据排队，直到您完成读取并将新的入站数据传递到 SSL 引擎，一旦发生这种情况，您可以重试发送出站数据。

Answer 2

您是否阅读过 ssl_read 和 ssl_get_error 的 OpenSSL 文档？

ssl_read：

如果底层 BIO 阻塞， SSL_read() 只会返回，一旦 读操作已完成或 发生错误，除非出现 重新谈判发生，其中 情况下可能会发生 SSL_ERROR_WANT_READ。 这种行为可以控制 的 SSL_MODE_AUTO_RETRY 标志 SSL_CTX_set_mode(3) 调用。

如果底层 BIO 是非阻塞的， SSL_read() 也会在 底层 BIO 无法满足 SSL_read() 需要继续 手术。在这种情况下，调用 SSL_get_error(3) 与返回值 SSL_read() 将产生 SSL_ERROR_WANT_READ 或 SSL_ERROR_WANT_WRITE。就像任何时候一样 重新谈判是可能的，打电话给 SSL_read() 也可能导致写入 操作！然后调用过程 接听后必须重复通话 适当的行动来满足 SSL_read() 的需求。那个行动 取决于底层的 BIO。什么时候 使用非阻塞套接字，什么都没有 是要做的，但 select() 可以 用于检查所需的 条件。

ssl_get_error：

SSL_ERROR_WANT_READ、SSL_ERROR_WANT_WRITE

操作没有完成；这 相同的 TLS/SSL I/O 功能应该是 稍后再次调用。如果到那时， 底层 BIO 有数据可用于 阅读（如果结果代码是 SSL_ERROR_WANT_READ）或允许写入 数据（SSL_ERROR_WANT_WRITE），然后是一些 TLS/SSL 协议进展将需要 位置，即 TLS/SSL 的至少一部分 记录将被读取或写入。笔记 重试可能会再次导致 SSL_ERROR_WANT_READ 或 SSL_ERROR_WANT_WRITE 健康）状况。没有固定的上限 对于可能的迭代次数 有必要直到取得进展 在应用程序协议级别可见。

对于套接字 BIO（例如，当 SSL_set_fd() 已使用）、select() 或 poll() 底层socket可以用来查找 出时 TLS/SSL I/O 功能 应该重试。

警告：任何 TLS/SSL I/O 功能都可以 导致 SSL_ERROR_WANT_READ 和 SSL_ERROR_WANT_WRITE。特别是， SSL_read() 或 SSL_peek() 可能想要 写入数据和 SSL_write() 可能想要 读取数据。这主要是因为 TLS/SSL 握手可能发生在任何时间 协议期间的时间（由 客户端或服务器）； SSL_read()、SSL_peek() 和 SSL_write() 将处理任何未决的握手。

OpenSSL 被实现为状态机。 SSL_ERROR_WANT_READ 表示需要更多入站数据，SSL_ERROR_WANT_WRITE 表示需要更多出站数据才能在连接上取得进展。如果在 ssl_read() 操作中得到SSL_ERROR_WANT_WRITE，则需要发送出站数据，或者至少等待套接字变为可写。如果在 ssl_write() 操作中得到SSL_ERROR_WANT_READ，则需要读取入站数据。

您应该订阅OpenSSL mailing lists。这个问题被问了很多。

Answer 3

对于非阻塞套接字，SSL_WANT_READ 表示“等待套接字可读，然后再次调用此函数。”;相反，SSL_WANT_WRITE 表示“等待套接字可写，然后再次调用此函数。”。您可以通过SSL_read() 或SSL_write() 调用获得SSL_WANT_WRITE 或SSL_WANT_READ。