Node.js获取客户端签名算法排查ERR_SSL_NO_SUITABLE_SIGNATURE_ALGORITHM错误

针对你遇到的ERR_SSL_VERSION_OR_CIPHER_MISMATCH（本质是签名算法不兼容）问题，以下是几种获取客户端签名算法列表的可行方法：

方法一：利用Node.js的tlsClientHello事件（推荐） #

Node.js v12.9.0及以上版本支持在HTTPS服务器上监听tlsClientHello事件，该事件会在客户端发送Hello消息时触发，直接返回客户端支持的签名算法、加密套件等信息。

修改你的服务器代码，添加事件监听：

const https = require('https');
const fs = require('fs');

const serverOptions = {
  key: fs.readFileSync('privkey.pem'),
  cert: fs.readFileSync('fullchain.pem')
};

const server = https.createServer(serverOptions, (req, res) => {
  res.writeHead(200);
  res.end('Hello World');
});

// 监听客户端Hello事件，打印签名算法
server.on('tlsClientHello', (helloInfo) => {
  console.log('客户端支持的签名算法：', helloInfo.signatureAlgorithms);
  console.log('客户端支持的加密套件：', helloInfo.cipherSuites);
});

server.listen(443);

重启服务器后，当有客户端发起请求时，控制台会输出客户端提供的签名算法列表。

方法二：用OpenSSL命令行调试 #

无需修改代码，直接使用OpenSSL的s_client工具模拟请求并查看调试日志：

openssl s_client -connect 你的域名:443 -debug

在输出内容中查找Signature Algorithms字段，即可看到客户端支持的签名算法集合。如果需要模拟特定浏览器的请求行为，还可以通过-sigalgs参数指定签名算法，或-cipher指定加密套件。

方法三：增强Node.js的TLS调试日志 #

默认的NODE_DEBUG='tls,https'输出有限，可通过设置OpenSSL的调试环境变量获取更详细的握手日志：

export OPENSSL_DEBUG_LEVEL=4
export NODE_DEBUG='tls,https'

重启Node.js服务器后，日志会包含OpenSSL底层的握手细节，其中会明确显示客户端发送的签名算法列表。

额外建议 #

拿到客户端签名算法列表后，可在服务器的serverOptions中显式指定兼容的签名算法，解决不匹配问题：

const serverOptions = {
  // 已有证书、密钥配置
  signatureAlgorithms: [
    'ECDSA+SHA256',
    'RSA+SHA256',
    'ECDSA+SHA384',
    'RSA+SHA384'
    // 根据客户端支持的算法调整
  ]
};

内容的提问来源于stack exchange，提问作者Gershom Maes