OpenSSL 3.0.8自定义路径下libcrypto的FIPS功能失效求助

针对你遇到的自定义路径/tmp/fips_files/libcrypto.so.3下FIPS状态显示启用但MD5仍可执行的问题，核心原因是FIPS模块未正确绑定或加载，以下是具体排查和解决步骤：

1. 确认自定义路径的OpenSSL是否正确编译FIPS支持 #

OpenSSL 3.x的FIPS启用需要单独编译FIPS模块，不能仅靠enable-fips配置项。重新检查编译流程：

# 编译主OpenSSL库（带FIPS支持）
./config enable-fips --prefix=/tmp/fips_files
make clean && make && make install

# 单独编译并安装FIPS模块
cd fips
./config --prefix=/tmp/fips_files
make clean && make && make install

如果跳过了FIPS模块的单独编译，即使主库显示FIPS启用，实际也不会生效。

2. 检查openssl.cnf的FIPS配置是否正确 #

自定义路径下的/tmp/fips_files/ssl/openssl.cnf必须明确指定FIPS模块的路径，否则OpenSSL无法加载有效FIPS策略：

[fips_sect]
activate = 1
module = /tmp/fips_files/lib/ossl-modules/fips.so  # 必须匹配实际FIPS模块路径

注意：编译完成后，默认的openssl.cnf可能未自动填充正确的模块路径，需要手动修改。

3. 确保Python运行时加载正确的环境变量 #

Python调用libcrypto时，必须同时指定动态库路径和OpenSSL配置文件路径，否则会 fallback 到系统默认配置：

# 运行Python脚本前设置环境变量
export LD_LIBRARY_PATH=/tmp/fips_files/lib:$LD_LIBRARY_PATH
export OPENSSL_CONF=/tmp/fips_files/ssl/openssl.cnf

仅设置LD_LIBRARY_PATH不足以让OpenSSL加载自定义的FIPS配置，必须指定OPENSSL_CONF。

4. 验证自定义库的FIPS功能是否正常 #

先通过OpenSSL命令行直接测试自定义路径的库，排除Python层面的问题：

LD_LIBRARY_PATH=/tmp/fips_files/lib OPENSSL_CONF=/tmp/fips_files/ssl/openssl.cnf /tmp/fips_files/bin/openssl md5 test.txt

如果该命令返回unsupported，说明库本身FIPS功能正常，问题出在Python的环境配置；如果仍能正常计算MD5，说明库的FIPS编译存在问题，回到步骤1重新编译。

5. 确认Python绑定的是自定义OpenSSL库 #

部分Python版本可能默认链接系统自带的OpenSSL，而非自定义编译的版本。在Python中执行以下代码验证：

import ssl
print(ssl.OPENSSL_VERSION)
print(ssl.get_default_verify_paths())

若输出的版本不是3.0.8，或库路径指向系统目录（如/usr/lib），则需要重新编译Python，指定链接自定义的OpenSSL：

# 编译Python时指定OpenSSL路径
./configure --with-openssl=/tmp/fips_files --with-openssl-rpath=/tmp/fips_files/lib
make && make install

内容的提问来源于stack exchange，提问作者dev