AWS EC2容器中httr2调用API遇OpenSSL EMS未启用错误求助

错误含义解析 #

OpenSSL/3.1.4: error:1C8000E9:Provider routines::ems not enabled 中的EMS指Extended Master Secret（扩展主密钥），是TLS协议的安全扩展，用于提升会话密钥的安全性。该错误表明容器内的OpenSSL在尝试与目标服务器协商启用EMS时，本地未开启对应的支持功能。

可能原因与排查步骤 #

1. 容器内OpenSSL配置差异 #

本地容器与EC2上的容器可能存在OpenSSL配置不一致：

• 检查容器内的OpenSSL配置文件（通常为/etc/ssl/openssl.cnf或/usr/lib/ssl/openssl.cnf），确认是否启用EMS。OpenSSL 3.x中EMS默认可能未全局开启，需在配置文件中添加相关项：

  [ssl_sect]
  system_default = system_default_sect
  
  [system_default_sect]
  Options = +ExtendedMasterSecret
  

• 对比本地容器与EC2容器的OpenSSL版本、配置文件内容，排查配置遗漏。

2. 容器内依赖库的版本/编译差异 #

httr2依赖curl，而curl又依赖系统OpenSSL库：

• 在容器内执行curl --version和openssl version，查看依赖的OpenSSL版本是否与EC2主机一致。主机能正常请求说明其OpenSSL支持EMS，容器内的库可能版本偏低或编译时未包含EMS支持。
• 尝试切换容器基础镜像：若使用轻量镜像（如alpine），可能默认未启用EMS，换用debian:bookworm这类完整镜像测试。

3. 目标服务器的TLS强制要求 #

错误仅针对特定URL，说明这些目标服务器强制要求客户端支持EMS：

• 在容器内执行openssl s_client -connect <目标域名>:443 -tls1_2，查看服务器返回的TLS扩展是否包含EMS，同时观察连接过程中的错误细节。
• 对比EC2主机与容器内的s_client输出，确认容器是否无法协商EMS扩展。

4. 容器网络配置干扰 #

虽然主机能正常请求，但容器网络模式可能存在差异：

• 切换容器网络模式为host测试，排除bridge模式下网络转发的TLS参数干扰。
• 快速验证EC2安全组、NACL是否允许容器与目标服务器的443端口通信（其他URL正常的话，此可能性较低）。

5. shiny-server/httr2的行为差异 #

shiny-server的运行环境可能影响httr2的请求逻辑：

• 在shiny应用中添加调试代码，输出httr2的请求细节：

  library(httr2)
  req <- request("问题URL") %>% req_debug()
  resp <- req_perform(req)
  

  查看TLS协商过程的输出，确认是否尝试启用EMS。
• 在容器内直接用curl命令请求问题URL：若curl也报错，问题出在容器的OpenSSL/网络配置；若curl正常，再排查httr2的封装逻辑。

内容的提问来源于stack exchange，提问作者mikeck