cpp-httplib HTTPS服务器无法适配指定DHE-PSK密码套件

以下是针对你的问题的具体排查和修复步骤：

1. 确认cpp-httplib版本兼容性 #

确保你使用的cpp-httplib版本支持PSK和TLSv1协议，部分旧版本可能对弱密码套件的支持存在限制，建议使用最新稳定版。

2. 正确配置SSL上下文参数 #

你需要明确调低OpenSSL安全级别、指定TLSv1协议版本，并准确设置目标密码套件：

#include <httplib.h>
#include <openssl/ssl.h>

int main() {
    httplib::SSLServer server;

    // 获取SSL上下文
    SSL_CTX* ctx = server.ssl_context();

    // 调低安全级别，允许弱密码套件（OpenSSL默认安全级别2会禁用TLSv1及弱套件）
    SSL_CTX_set_security_level(ctx, 0);

    // 强制使用TLSv1.0（目标密码套件仅支持TLSv1）
    SSL_CTX_set_min_proto_version(ctx, TLS1_VERSION);
    SSL_CTX_set_max_proto_version(ctx, TLS1_VERSION);

    // 明确指定要使用的密码套件
    SSL_CTX_set_cipher_list(ctx, "DHE-PSK-AES256-CBC-SHA:DHE-PSK-AES256-CBC-SHA384");

    // 其他配置...
}

3. 正确实现PSK回调函数 #

这是最容易出错的环节，必须确保回调函数正确返回与客户端匹配的PSK密钥，且格式一致：

server.set_psk_server_callback([](const std::string& identity, std::string& psk) {
    // 根据客户端提供的identity返回对应的PSK
    // 注意：如果客户端用-hex参数传入PSK，这里的psk需要是十六进制对应的二进制数据
    // 例如客户端用`-psk 616263`（对应明文"abc"），则psk应设置为"\x61\x62\x63"或直接"abc"
    if (identity == "test_client_identity") {
        psk = "your_pre_shared_key_in_binary"; // 或对应十六进制转二进制后的内容
        return true;
    }
    return false;
});

4. 验证客户端命令的正确性 #

使用openssl s_client测试时，必须指定TLSv1、匹配的密码套件、PSK及identity：

# 假设PSK为十六进制字符串（例如"abc"对应616263）
openssl s_client -connect localhost:8080 -tls1 -psk 616263 -psk_identity test_client_identity -cipher DHE-PSK-AES256-CBC-SHA

如果客户端使用明文PSK（部分OpenSSL版本支持-psk_plain参数）：

openssl s_client -connect localhost:8080 -tls1 -psk_plain "abc" -psk_identity test_client_identity -cipher DHE-PSK-AES256-CBC-SHA

5. 开启调试日志排查细节 #

开启cpp-httplib和OpenSSL的调试日志，查看握手过程中的具体错误：

// 开启cpp-httplib错误日志
server.set_error_logger([](const char* msg) {
    std::cerr << "[ERROR] " << msg << std::endl;
});

// 开启OpenSSL握手消息日志（可选）
SSL_CTX_set_msg_callback(ctx, [](int write_p, int version, int content_type, const void* buf, size_t len, SSL* ssl, void* arg) {
    std::cerr << (write_p ? "[WRITE]" : "[READ]") << " SSL message, length: " << len << std::endl;
});

关键注意点 #

• OpenSSL的安全级别设置必须足够低（0或1），否则会自动禁用TLSv1和弱密码套件；
• PSK的格式必须与客户端完全一致（二进制/十六进制），不匹配会直接导致握手失败；
• 必须明确指定TLSv1协议版本，cpp-httplib默认可能禁用了旧协议版本。

内容的提问来源于stack exchange，提问作者crimsonking