IXWebSocket C++ WSS客户端通过IP连接Node.js WSS服务器证书验证失败

1. 差异原因 #

C++客户端（IXWebSocket）和Node.js的ws库在SSL证书验证逻辑上存在以下核心差异：

• IP匹配逻辑实现不同：ws库会自动将连接的IP地址与证书subjectAltName中的IP项做匹配；而IXWebSocket可能存在两种情况：旧版本对IP类型SAN支持不完善，误将IP当作DNS主机名去匹配SAN的DNS项，导致匹配失败；或者未显式设置SNI（Server Name Indication），部分SSL库要求指定serverName才能触发正确的SAN验证逻辑。
• OpenSSL版本兼容性：IXWebSocket依赖的OpenSSL版本如果较旧，对IP格式的SAN解析可能存在bug，无法正确识别IPv4地址的SAN项。

2. 调试方法 #

• 用OpenSSL命令行模拟连接：执行以下命令查看SSL握手全流程和验证结果，重点检查SAN字段和最终验证状态：

  openssl s_client -connect 192.168.230.138:8080 -CAfile ca.crt
  

• 开启IXWebSocket调试日志：在代码中添加webSocket.setDebug(true);，查看SSL握手阶段的详细日志，定位验证失败的具体环节。
• 显式设置SNI：修改C++客户端代码，添加tlsOptions.serverName = "192.168.230.138";，强制指定服务器标识，触发正确的SAN匹配逻辑。
• 导出并检查服务器返回的证书：用openssl s_client导出服务器证书，再执行openssl x509 -in exported_cert.pem -text -noout查看证书的SAN字段，确认IP确实存在。
• 升级依赖版本：尝试升级IXWebSocket和其依赖的OpenSSL库，解决版本兼容性问题。

3. 是否必须使用真实主机名 #

不存在强制要求使用真实主机名的SSL限制，RFC 5280明确允许将IP地址作为subjectAltName的一部分进行证书验证。问题出在客户端库的实现细节或配置上，而非SSL协议本身的限制。只要证书正确配置了IP类型的SAN，且客户端库支持IP验证逻辑，就可以用IP地址建立WSS连接。

内容的提问来源于stack exchange，提问作者peterphonic