Node.js 16/18中TLS 1.3会话ID不匹配，如何替代renegotiate实现证书重选？

问题根源：TLS1.3的会话复用机制变化 #

你遇到的session ID不匹配问题，本质是TLS1.3彻底改变了会话复用的实现逻辑：

• TLS<=1.2依赖静态session ID实现会话恢复，Node.js的newSession/resumeSession事件就是为这个机制设计的
• TLS1.3默认使用**会话票证（Session Ticket）**替代session ID，客户端恢复会话时不会传递你在newSession中存储的session ID，所以resumeSession里永远找不到匹配的记录
• 另外，TLS1.3已经移除了renegotiation（重新协商）机制，旧的tlsSocket.renegotiate({})方法完全失效

实现客户端重新选择证书的正确方案 #

既然TLS1.3不支持renegotiate，要让客户端重新选择证书，只能强制触发新的TLS握手，以下是两种可行方案：

方案1：主动关闭现有连接，要求客户端重连 #

当你需要让客户端重新选证书时，直接关闭当前的TLS socket，客户端会自动发起新的连接，触发完整的TLS握手（包括证书选择）。

示例代码：

// 假设在某个接口处理中触发重新认证
app.get('/force-reauth', (req, res) => {
  // 获取当前连接的TLS socket
  const tlsSocket = req.socket;
  // 发送关闭信号后断开连接
  tlsSocket.end('Please reconnect to select a new certificate');
});

方案2：返回特定响应，让客户端主动发起新连接 #

如果你不想强制断开，可以返回一个自定义状态码（比如419 Session Timeout），在客户端逻辑中捕获该状态码后，主动发起新的HTTPS请求，触发新的TLS握手。

服务端示例：

app.get('/check-cert', (req, res) => {
  // 检查当前客户端证书是否需要更换
  const needReauth = checkIfCertNeedsUpdate(req.socket.getPeerCertificate());
  if (needReauth) {
    res.status(419).send('Certificate needs to be reselected');
    return;
  }
  // 正常处理请求
  res.send('OK');
});

客户端示例（伪代码）：

async function fetchData() {
  try {
    const response = await fetch('/check-cert', {
      method: 'GET',
      credentials: 'include'
    });
    if (response.status === 419) {
      // 关闭现有连接池，发起新请求
      await closeExistingConnections();
      return fetch('/check-cert', { method: 'GET', credentials: 'include' });
    }
    return response;
  } catch (err) {
    // 处理连接错误，重新发起请求
    return fetch('/check-cert', { method: 'GET', credentials: 'include' });
  }
}

关于TLS1.3会话复用的额外说明 #

如果需要在TLS1.3下实现会话复用，应该使用ticket事件替代newSession/resumeSession：

httpsServer.on('ticket', (sessionData, callback) => {
  // 存储会话票证数据（不需要session ID，票证本身就是唯一标识）
  const ticketId = generateUniqueId();
  certificationStore.setSessionData(ticketId, sessionData);
  // 可以自定义票证的加密密钥或有效期
  callback(null, sessionData);
});

但注意：会话复用会跳过证书验证环节，所以如果你的目标是让客户端重新选证书，必须禁止复用当前会话，可以在存储会话数据时标记有效期，或者在需要时清理对应会话记录。

内容的提问来源于stack exchange，提问作者Stefan Djokic