OpenSSL升级至3.x对netty-tcnative-boringssl-static<2.0.34.Final>的影响咨询

1. 升级OpenSSL至3.x会带来哪些影响？ #

• 安全增强：修复OpenSSL 1.0.2k中的大量已知漏洞，支持TLS 1.3等现代加密协议，默认禁用SHA-1、3DES等弱加密算法，满足更高的安全合规要求（如FIPS 140-3）。
• API变更：重构核心架构，引入Provider机制，部分旧版API被标记为废弃或移除，依赖这些API的代码需要调整适配。
• 兼容性风险：与OpenSSL 1.0.x二进制兼容性差，直接替换系统OpenSSL库会导致依赖旧版的程序出现运行错误。
• 性能变化：部分加密操作性能优化，但新架构初期可能存在适配性的性能波动。

2. 当前版本netty-tcnative-boringssl-static<2.0.34.Final>能否正常运行？ #

不能。该版本的netty-tcnative-boringssl-static是静态编译BoringSSL的，它不依赖系统OpenSSL库，且其内置的BoringSSL版本与OpenSSL 3.x的API、架构完全不兼容。强行搭配系统OpenSSL 3.x运行会出现链接错误、API调用失败甚至程序崩溃的问题。

3. 如何查询netty-tcnative-boringssl-static基于哪个OpenSSL版本分叉而来？ #

• 查看对应版本（2.0.34.Final）的项目源码，BoringSSL作为子模块，其目录下的文档或提交记录会标注分叉的OpenSSL基线版本。
• 查阅项目的RELEASE_NOTES.md文件，通常会说明依赖的BoringSSL版本及其对应的OpenSSL源头版本。
• 编译该版本后，通过Netty API（如SslContext.version()）获取内置BoringSSL的版本信息，再对应到其分叉的OpenSSL版本（例如部分BoringSSL版本基于OpenSSL 1.1.1分支）。

4. 是否需要升级netty-tcnative-boringssl-static以兼容OpenSSL 3.x？ #

需要，但需注意：

• netty-tcnative-boringssl-static是静态链接BoringSSL，本身不依赖系统OpenSSL。如果要使用系统级OpenSSL 3.x，应改用netty-tcnative-openssl（动态链接）或netty-tcnative-openssl-static（静态链接OpenSSL）。
• 需升级到支持OpenSSL 3.x的netty-tcnative版本，通常2.0.50.Final及以上版本开始支持OpenSSL 3.x，建议使用最新稳定版。同时需检查代码中是否有依赖旧版API的部分，做相应替换。

内容的提问来源于stack exchange，提问作者Akshay