OpenSSL错误“SSL routines::bad record type”含义及规避方案咨询

错误本质 #

错误码0A0001BB对应OpenSSL内部的SSL_R_BAD_RECORD_TYPE，意思是SSL层收到了完全不符合当前协议状态的记录类型。比如握手阶段收到了应用数据，或者正常传输阶段收到了握手消息，也可能是网络传输中数据被截断、乱序，导致OpenSSL无法识别收到的字节流属于哪种SSL记录。首次调用SSL_read就触发的情况，大概率是连接建立初期出了问题——要么是对方发的数据格式不对，要么是网络丢包/乱序导致本地收到的第一个SSL帧完全不符合预期。

排查与规避方法 #

• 确认两端SSL/TLS版本协商是否一致：比如一端强制用TLS1.3，另一端只支持到TLS1.2，协商过程很容易出异常记录。可以用SSL_get_version()在握手后检查实际使用的版本，或者开启OpenSSL调试日志（编译时加-DOPENSSL_DEBUG，运行时设置环境变量OPENSSL_DEBUG_FILE）查看握手全流程。
• 检查网络链路稳定性：这个错误和网络丢包、延迟导致的帧错乱高度相关。直接抓包分析首次SSL_read前的网络数据，看是否有多余的非SSL数据混入（比如旧连接残留的垃圾数据），或者帧是否被截断。
• 确认SSL对象初始化和使用流程正确：每个新连接必须对应独立的SSL对象，绝对不能复用旧对象；客户端要确保连接建立后没提前发送非SSL数据，服务器端可手动完成SSL_accept()后再调用SSL_read（虽然SSL_read会自动触发握手，但手动完成能减少意外）。
• 检查证书和套件配置：如果两端的加密套件不兼容，握手过程中也可能出现异常记录，导致后续SSL_read报错。可以用SSL_get_cipher()确认协商后的套件是否正常。

如何获取更详细的OpenSSL错误信息 #

• 用ERR_print_errors_fp()直接打印完整错误栈到流中，示例代码：

  ERR_print_errors_fp(stderr);
  

  该方法能输出错误的调用链，比单独的错误码更有用，可定位到具体抛出错误的子模块。
• 循环遍历错误栈：ERR_get_error()每次仅返回栈顶的错误码，需循环遍历才能拿到所有错误信息：

  unsigned long err;
  while ((err = ERR_get_error()) != 0) {
      fprintf(stderr, "OpenSSL error: %s\n", ERR_error_string(err, NULL));
  }
  

• 开启调试符号编译OpenSSL：若需深层排查，编译时加-g选项，结合gdb跟踪SSL_read的执行流程，可精准定位触发错误的代码位置。

内容的提问来源于stack exchange，提问作者Soikk