ACL 项目中 SSL/TLS 安全通信的实现与使用指南-优快云博客

本文链接：https://blog.youkuaiyun.com/gitblog_00863/article/details/148756164

ACL 项目中 SSL/TLS 安全通信的实现与使用指南

acl A powerful server and network library, including coroutine, redis client, http, websocket, mqtt with C/C++ for multi-platform including Linux, Android, iOS, MacOS, Windows, etc.. 项目地址: https://gitcode.com/gh_mirrors/ac/acl

概述

在现代网络通信中，SSL/TLS 协议已成为保障数据传输安全的重要技术。ACL 项目通过集成 PolarSSL 及其升级版 MbedTLS，为开发者提供了简洁高效的 SSL/TLS 安全通信解决方案。本文将详细介绍如何在 ACL 项目中实现和使用 SSL/TLS 功能。

核心设计特点

ACL 的 SSL 模块具有以下显著特点：

灵活的库加载方式
- 采用动态加载机制，避免对不使用 SSL 功能的用户造成编译负担
- 同时支持静态链接方式，满足不同场景需求
模块化设计
- 分为全局配置类(sslbase_conf)和 IO 通信类(sslbase_io)
- 配置类作为单例使用，IO 类与每个 TCP 连接绑定
全面的功能支持
- 同时支持服务端和客户端模式
- 支持阻塞与非阻塞两种通信方式
- 内置线程安全机制，确保多线程环境下的稳定性
应用集成
- 已深度集成到 HTTP 模块，支持 HTTPS/Websocket
- 为 Redis 模块提供安全通信能力

核心接口详解

配置类(sslbase_conf)

sslbase_conf 是 SSL 配置的基类，主要提供以下功能：

// 创建 SSL IO 对象
virtual sslbase_io* open(bool nblock) = 0;

// 添加证书(可多次调用添加多个证书)
virtual bool add_cert(const char* crt_file);

// 设置私钥(每个实例只需调用一次)
virtual bool set_key(const char* key_file, const char* key_pass = NULL);

// 启用会话缓存(仅服务端有效)
virtual void enable_cache(bool on);

IO 通信类(sslbase_io)

sslbase_io 负责实际的 SSL 通信，需要实现以下核心方法：

// SSL 握手
virtual bool handshake(void) = 0;

// 数据读写接口
virtual int read(void* buf, size_t len) = 0;
virtual int send(const void* buf, size_t len) = 0;

// 初始化和清理
virtual bool open(ACL_VSTREAM* s) = 0;
virtual bool on_close(bool alive);
virtual void destroy(void);

实战示例

服务端实现(MbedTLS)

以下是一个完整的 SSL 服务端实现示例：

// 初始化 SSL 配置
bool ssl_init(const acl::string& ssl_crt, const acl::string& ssl_key,
        acl::mbedtls_conf& ssl_conf) {
    ssl_conf.enable_cache(true);
    if (!ssl_conf.add_cert(ssl_crt)) {
        printf("添加证书失败\n");
        return false;
    }
    if (!ssl_conf.set_key(ssl_key)) {
        printf("设置私钥失败\n");
        return false;
    }
    return true;
}

// 处理客户端连接的线程类
class echo_thread : public acl::thread {
public:
    echo_thread(acl::sslbase_conf& ssl_conf, acl::socket_stream* conn)
        : ssl_conf_(ssl_conf), conn_(conn) {}
private:
    void* run(void) {
        conn_->set_rw_timeout(60);
        if (!setup_ssl()) return NULL;
        do_echo();
        delete conn_;
        return NULL;
    }
    
    bool setup_ssl() {
        bool non_block = false;
        acl::sslbase_io* ssl = ssl_conf_.open(non_block);
        if (conn_->setup_hook(ssl) == ssl) {
            ssl->destroy();
            return false;
        }
        return true;
    }
    
    void do_echo() {
        char buf[4096];
        while (true) {
            int ret = conn_->read(buf, sizeof(buf), false);
            if (ret == -1) break;
            if (conn_->write(buf, ret) == -1) break;
        }
    }
};

客户端实现(MbedTLS)

客户端实现与服务端类似，但不需要加载证书：

class echo_thread : public acl::thread {
public:
    echo_thread(acl::sslbase_conf& ssl_conf, const char* addr, int count)
        : ssl_conf_(ssl_conf), addr_(addr), count_(count) {}
private:
    void* run(void) {
        acl::socket_stream conn;
        conn.set_rw_timeout(60);
        if (!conn.open(addr_, 10, 10)) {
            printf("连接失败\n");
            return NULL;
        }
        if (!setup_ssl(conn)) return NULL;
        do_echo(conn);
        return NULL;
    }
    
    bool setup_ssl(acl::socket_stream& conn) {
        bool non_block = false;
        acl::sslbase_io* ssl = ssl_conf_.open(non_block);
        if (conn.setup_hook(ssl) == ssl) {
            ssl->destroy();
            return false;
        }
        return true;
    }
};

非阻塞模式实现

非阻塞模式需要注意握手过程的特殊处理：

bool read_wakeup() {
    acl::sslbase_io* hook = (acl::sslbase_io*) client_->get_hook();
    if (hook == NULL) {
        client_->gets(__timeout, false); 
        return true;
    }
    
    // 非阻塞模式下需要多次尝试握手
    if (!hook->handshake()) {
        printf("SSL 握手失败\n");
        return false;
    }
    return true;
}