关于OpenSSL 1.1.1 EOL对BoringSSL及netty-tcnative-boringssl-static的影响咨询

1. BoringSSL的独立维护状态 #

BoringSSL虽源自OpenSSL 1.1.1分支，但Google团队已对其做了大量独立改造，包括架构重构、特性精简和安全强化，它并非OpenSSL的直接衍生分支，两者维护路径完全独立：

• OpenSSL 1.1.1的EOL不会直接终止BoringSSL的维护，Google会持续为其推送安全补丁，覆盖自身代码及继承自OpenSSL分支的潜在漏洞
• BoringSSL的维护节奏与Google内部核心业务（如Chrome）绑定，只要这些依赖产品仍在运营，安全支持就会持续

2. 对netty-tcnative-boringssl-static的影响 #

netty-tcnative-boringssl-static是Netty对BoringSSL的封装组件，其安全保障依赖上游BoringSSL和Netty团队的维护：

• 只要BoringSSL发布安全修复，Netty团队通常会及时同步更新到该组件包中
• 需关注Netty官方的版本更新日志，确保使用的是包含最新BoringSSL安全补丁的版本
• 组件自身的代码漏洞（非BoringSSL层面）由Netty团队独立维护，会遵循Netty的维护周期提供修复

3. 核心注意点 #

• 不要将BoringSSL的生命周期与OpenSSL 1.1.1绑定，二者无直接关联
• 定期检查并升级netty-tcnative-boringssl-static版本，避免使用已停止维护的旧版本

内容的提问来源于stack exchange，提问作者spenson