在Amazon Linux 2/Lambda Python3.10中使用Qpid Proton库遇SSL定位问题

问题根源 #

Qpid Proton的Python绑定依赖底层C库，而Lambda的Amazon Linux 2基础环境是最小化配置，缺少Proton所需的系统级OpenSSL库文件，或库路径未被Proton正确识别——尽管Python自带的SSL模块能正常工作，但两者依赖的库查找逻辑不同。

解决方案 #

方案1：构建包含依赖的自定义Lambda部署包/层 #

Lambda环境缺少Proton依赖的系统库，需在与Lambda一致的Amazon Linux 2环境中预编译、收集依赖，再打包上传：

1. 准备编译环境：
   • 使用Docker拉取Amazon Linux 2镜像：docker run -it amazonlinux:2 /bin/bash
   • 安装编译依赖：

     yum update -y
     yum install -y openssl-devel gcc python3-devel python3-pip
     

2. 安装Qpid Proton并收集依赖：
   • 创建并激活虚拟环境（可选但推荐）：

     python3 -m venv venv
     source venv/bin/activate
     

   • 安装Qpid Proton到指定目录：

     pip install qpid-proton==0.39.0 -t ./python
     

   • 查找Proton依赖的OpenSSL库：

     ldd ./python/proton/_cproton.so | grep -E '(libssl|libcrypto)'
     

     会输出类似libssl.so.10 => /usr/lib64/libssl.so.10的路径，将这些库文件复制到./lib目录：

     mkdir -p ./lib
     cp /usr/lib64/libssl.so.10 ./lib/
     cp /usr/lib64/libcrypto.so.10 ./lib/
     

3. 打包与部署：
   • 将python目录（含Proton）和lib目录打包为zip文件：

     zip -r proton-layer.zip python lib
     

   • 将此zip作为Lambda层上传，或直接和业务代码打包在一起。
4. 配置Lambda运行时路径：
   在代码开头添加环境变量配置，确保Proton能找到依赖库：

   import os
   # 如果是层，lib目录在/opt/lib；如果是和代码一起打包，路径改为./lib
   os.environ['LD_LIBRARY_PATH'] = '/opt/lib:' + os.environ.get('LD_LIBRARY_PATH', '')
   

方案2：静态编译Qpid Proton #

通过静态编译将OpenSSL依赖直接打包进Proton的C库，避免依赖系统库：

1. 在Amazon Linux 2环境中，下载Qpid Proton 0.39.0源码：

   wget https://archive.apache.org/dist/qpid/proton/0.39.0/qpid-proton-0.39.0.tar.gz
   tar xzf qpid-proton-0.39.0.tar.gz
   cd qpid-proton-0.39.0
   

2. 配置编译参数，启用静态链接：

   mkdir build && cd build
   cmake .. -DCMAKE_BUILD_TYPE=Release -DBUILD_PYTHON=ON -DCMAKE_EXE_LINKER_FLAGS="-static"
   make install
   

3. 将编译生成的Python模块复制到打包目录，再和业务代码一起上传Lambda。

验证步骤 #

在Amazon Linux 2环境中，进入打包目录的Python环境，执行以下代码确认SSL检测通过：

import proton
print('SSL present' if proton.SSL.present() else 'SSL NOT Available')

输出SSL present后再打包上传Lambda。

内容的提问来源于stack exchange，提问作者Praveen