如何在Twisted中使用startTLS？官方示例异常排查求助

一、证书缺少subjectAltName导致的验证错误 #

你遇到的service_identity.exceptions.CertificateError，是因为Twisted依赖的service_identity库要求证书必须包含**subjectAltName（SAN）**扩展，而你最初生成证书时只指定了CN=localhost，未添加SAN字段，导致验证不通过。

修正证书生成命令 #

使用以下命令生成包含SAN的服务器证书，替换原生成步骤：

# 生成带subjectAltName的服务器证书和密钥
openssl req -x509 -newkey rsa:4096 -keyout serverkey.pem -out servercert.pem -sha256 -days 3650 -nodes -subj "/CN=localhost" -addext "subjectAltName=DNS:localhost"
# 合并密钥和证书为server.pem（Linux/macOS）
cat serverkey.pem servercert.pem > server.pem
# Windows下合并命令
copy /b serverkey.pem+servercert.pem server.pem

该命令通过-addext参数明确添加了DNS类型的SAN（值为localhost），满足service_identity的验证规则。

二、客户端未发送"secure text"的原因及修复 #

更换客户端证书后不再崩溃，但服务器收不到加密数据，核心问题是客户端在TLS握手未完成时就发送了数据。Twisted的startTLS是异步操作，调用后需等待TLS握手完成（触发connectionSecure回调），才能安全发送加密内容。

修正客户端代码逻辑 #

修改客户端协议类，将发送"secure text"的逻辑移到connectionSecure方法中，而非收到"READY"后立即发送：

from twisted.protocols.basic import LineReceiver
from twisted.internet.ssl import ClientContextFactory
import ssl

class StartTLSClient(LineReceiver):
    def connectionMade(self):
        self.sendLine(b"plain text")
        self.sendLine(b"STARTTLS")

    def lineReceived(self, line):
        if line == b"READY":
            # 启动TLS，暂不发送数据
            self.transport.startTLS(self.factory.context)

    def connectionSecure(self):
        # TLS握手完成后，发送加密数据
        self.sendLine(b"secure text")

class ClientContext(ClientContextFactory):
    def getContext(self):
        # 针对自签名证书，临时禁用证书验证（仅测试场景）
        ctx = super().getContext()
        ctx.check_hostname = False
        ctx.verify_mode = ssl.CERT_NONE
        return ctx

说明：如果服务器使用自签名证书，客户端需禁用证书验证（如上代码），否则TLS握手会失败；生产环境应使用受信任证书或添加自定义信任根。

额外提示 #

客户端不需要单独生成client.pem，除非你的服务端要求双向TLS认证（即服务器验证客户端证书）。若仅为单向认证（客户端验证服务器证书），只需配置客户端信任服务器证书即可。

内容的提问来源于stack exchange，提问作者bontchev