OpenSSL库是否自动使用openssl.cnf及配置路径设置咨询

1. OpenSSL是否会自动应用openssl.cnf中的配置？ #

对于SSL/TLS套接字的加密套件这类核心配置，默认不会自动加载。OpenSSL初始化SSL/TLS上下文（SSL_CTX）时，不会主动读取openssl.cnf里的加密套件设置，只会使用库内置的默认套件列表。只有当你在代码中主动调用配置加载API，或者启用依赖配置系统的功能时，才会应用cnf文件里的对应内容。

比如，仅用SSL_CTX_new(TLS_method())创建上下文的话，加密套件和openssl.cnf完全无关；但如果先调用OPENSSL_config()加载配置文件，再初始化上下文，cnf中通过CipherString指定的套件才会生效。

2. 不使用OPENSSL_CONF环境变量时，OpenSSL如何定位openssl.cnf？ #

OpenSSL会使用编译时预设的默认路径，不同系统和编译参数路径有差异：

• Linux/Unix类系统常见路径：/etc/ssl/openssl.cnf或/usr/lib/ssl/openssl.cnf
• Windows系统通常是OpenSSL安装目录下的openssl.cnf（比如C:\Program Files\OpenSSL-Win64\bin\openssl.cnf）

你可以执行openssl version -d命令，查看当前OpenSSL版本的默认配置目录，配置文件一般就在该目录下。

3. 能否在C++代码中指定openssl.cnf路径，或其他配置方式？ #

有多种方式可自定义配置：

• 代码中直接指定配置文件路径：调用OPENSSL_config()函数，传入你的配置文件路径，注意要在初始化SSL上下文之前执行：

  OPENSSL_config("/path/to/your/custom_openssl.cnf");
  

  若只想加载配置文件中的特定段，可使用OPENSSL_config_ex()指定段名。
• 手动设置加密套件：完全绕过配置文件，直接在代码中调用SSL_CTX_set_cipher_list()（针对TLS 1.2及以下）或SSL_CTX_set_ciphersuites()（针对TLS 1.3）设置套件列表，这种方式更灵活，无需依赖外部文件：

  // 设置TLS 1.2及以下加密套件
  SSL_CTX_set_cipher_list(ctx, "ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384");
  // 设置TLS 1.3加密套件
  SSL_CTX_set_ciphersuites(ctx, "TLS_AES_256_GCM_SHA384:TLS_CHACHA20_POLY1305_SHA256");
  

• 通过环境变量指定：在程序启动前设置OPENSSL_CONF环境变量，或在代码中用setenv()（Unix）/_putenv()（Windows）设置，必须在OpenSSL初始化操作之前执行：

  // Unix系统示例
  setenv("OPENSSL_CONF", "/path/to/your/custom_openssl.cnf", 1);
  // Windows系统示例
  _putenv("OPENSSL_CONF=C:\\path\\to\\custom_openssl.cnf");
  

内容的提问来源于stack exchange，提问作者Anthony