如何通过C/C++代码判断系统OpenSSL库是否支持TLS 1.0/1.1？

当然不是只能靠版本号判断——动态检测运行时的实际支持状态才是最可靠的方案，下面分两种思路说明：

一、版本宏检查（静态编译时判断，有局限性） #

OpenSSL提供了预处理器宏可以在编译阶段做初步判断：

• 版本宏：OPENSSL_VERSION_NUMBER，比如OpenSSL 1.0.0及以上原生支持TLS 1.0，1.0.1及以上原生支持TLS 1.1
• 协议宏：检查是否定义了TLS1_VERSION（对应TLS 1.0）、TLS1_1_VERSION（对应TLS 1.1）

但要注意：这种方法只能判断编译时的库是否包含该特性，无法检测运行时是否被禁用——很多发行版（如RHEL、SUSE）会通过补丁或编译选项关闭旧协议支持，即使版本宏满足条件，运行时也可能无法使用。

二、动态运行时检测（推荐，最可靠） #

直接通过OpenSSL API尝试创建仅支持目标TLS版本的SSL上下文，根据操作是否成功判断实际支持情况。这种方法能绕过版本号的误导，准确反映当前运行环境的真实状态。

代码示例（兼容多版本OpenSSL） #

方法1：使用特定版本的SSL方法（适配旧版OpenSSL）

#include <openssl/ssl.h>
#include <openssl/err.h>
#include <iostream>

bool check_tls_support(int tls_version) {
    // 初始化OpenSSL库
    SSL_library_init();
    OpenSSL_add_all_algorithms();
    SSL_load_error_strings();

    SSL_CTX* ctx = nullptr;
    switch (tls_version) {
        case TLS1_VERSION:
            ctx = SSL_CTX_new(TLSv1_method());
            break;
        case TLS1_1_VERSION:
            ctx = SSL_CTX_new(TLSv1_1_method());
            break;
        default:
            return false;
    }

    bool supported = (ctx != nullptr);
    if (ctx) SSL_CTX_free(ctx);

    // 清理资源
    EVP_cleanup();
    ERR_free_strings();

    return supported;
}

int main() {
    std::cout << "TLS 1.0: " << (check_tls_support(TLS1_VERSION) ? "Supported" : "Not supported") << "\n";
    std::cout << "TLS 1.1: " << (check_tls_support(TLS1_1_VERSION) ? "Supported" : "Not supported") << "\n";
    return 0;
}

方法2：通用方法+版本范围（适配OpenSSL 1.1.0及以上）

OpenSSL 1.1.0起推荐使用通用方法，通过设置版本范围来限制协议：

#include <openssl/ssl.h>
#include <openssl/err.h>
#include <iostream>

bool check_tls_support(int tls_version) {
    SSL_library_init();
    OpenSSL_add_all_algorithms();
    SSL_load_error_strings();

    SSL_CTX* ctx = SSL_CTX_new(TLS_method());
    if (!ctx) {
        EVP_cleanup();
        ERR_free_strings();
        return false;
    }

    // 设置仅允许目标TLS版本
    bool success = (SSL_CTX_set_min_proto_version(ctx, tls_version) == 1) &&
                   (SSL_CTX_set_max_proto_version(ctx, tls_version) == 1);

    SSL_CTX_free(ctx);
    EVP_cleanup();
    ERR_free_strings();

    return success;
}

int main() {
    std::cout << "TLS 1.0: " << (check_tls_support(TLS1_VERSION) ? "Supported" : "Not supported") << "\n";
    std::cout << "TLS 1.1: " << (check_tls_support(TLS1_1_VERSION) ? "Supported" : "Not supported") << "\n";
    return 0;
}

关键说明 #

• 这种方法直接验证运行时能否创建对应协议的上下文，不受发行版补丁、编译配置的影响
• 编译时需要链接OpenSSL库：Linux下添加编译参数-lssl -lcrypto，Windows下链接对应的lib文件

总结 #

版本号只能作为参考，动态运行时检测才是判断TLS 1.0/1.1是否实际可用的最可靠方式——毕竟不同操作系统的OpenSSL定制差异很大，版本和实际支持的协议没有绝对绑定关系。

内容的提问来源于stack exchange，提问作者Martin