OpenSSL阻塞服务器接收非阻塞客户端连接及SSL_accept调用问题

核心结论：别用while(true)死循环 #

非阻塞模式下绝对不能靠死循环反复调用SSL_accept()，这会无意义占用CPU，完全违背非阻塞I/O的设计初衷。正确做法是结合I/O多路复用（select/poll/epoll），等待套接字触发对应的读/写事件后，再重新调用SSL_accept()。

正确实现步骤 #

1. 确保底层TCP套接字是非阻塞的
   在调用SSL_accept()之前，必须先把接受客户端连接的TCP套接字设为非阻塞模式，比如用fcntl：

   int flags = fcntl(client_fd, F_GETFL, 0);
   fcntl(client_fd, F_SETFL, flags | O_NONBLOCK);
   

2. 正确处理SSL_accept()的返回值

   • 当SSL_accept()返回<=0，且SSL_get_error()返回SSL_ERROR_WANT_READ或SSL_ERROR_WANT_WRITE时，不能直接忽略：
     • 记录当前连接需要等待的事件（读/写），把对应的套接字加入到I/O复用的监听集合中。
     • 当后续I/O复用检测到该套接字触发了对应的读/写事件时，再次调用SSL_accept()。
   • 若返回SSL_ERROR_ZERO_RETURN，说明客户端主动关闭连接，直接清理连接即可。
   • 若返回SSL_ERROR_SSL，这是SSL层的硬错误，比如证书配置错误、握手协议不兼容、客户端发送无效SSL数据，需要优先排查这些问题：
     • 检查SSL上下文（SSL_CTX）初始化是否正确，是否加载了合法匹配的证书和私钥。
     • 确认客户端和服务器的SSL/TLS版本兼容（比如服务器是否禁用了客户端使用的旧版本）。
     • 用ERR_print_errors_fp(stdout)打印详细错误日志，定位具体问题。

修正后的代码逻辑示例 #

// 假设已通过I/O复用（如epoll）监听客户端套接字事件
int code = SSL_accept(ssl);
if (code <= 0) {
    int ssl_error = SSL_get_error(ssl, code);
    if (ssl_error == SSL_ERROR_WANT_READ) {
        // 将该套接字加入epoll读事件监听队列
        update_epoll_event(client_fd, EPOLLIN);
    } else if (ssl_error == SSL_ERROR_WANT_WRITE) {
        // 将该套接字加入epoll写事件监听队列
        update_epoll_event(client_fd, EPOLLOUT);
    } else if (ssl_error == SSL_ERROR_ZERO_RETURN) {
        // 清理连接：关闭SSL、释放资源、关闭套接字
        SSL_shutdown(ssl);
        SSL_free(ssl);
        close(client_fd);
    } else {
        // 打印详细SSL错误信息
        ERR_print_errors_fp(stdout);
        // 清理连接
        SSL_free(ssl);
        close(client_fd);
    }
} else {
    // SSL握手成功，进入业务逻辑处理
    handle_connected_client(ssl);
}

针对你当前错误的排查建议 #

你现在遇到SSL_ERROR_SSL（错误码1），先别纠结循环逻辑，优先排查SSL配置问题：

• 检查服务器端是否正确加载证书（SSL_CTX_use_certificate_file）和私钥（SSL_CTX_use_PrivateKey_file），且两者匹配。
• 验证客户端是否信任服务器证书（比如自签名证书需客户端关闭证书验证，或导入对应CA证书）。
• 调用ERR_print_errors_fp(stdout)打印详细错误日志，比单纯看错误码更容易定位问题。

内容的提问来源于stack exchange，提问作者Pepe Longstrong