SSL不安全旧版协商禁用致npm及node-gyp安装失败求助

一、修复npm安装better-sqlite3的SSL协商错误 #

报错write EPROTO ... unsafe legacy renegotiation disabled是因为OpenSSL 3.0默认禁用了不安全的旧版TLS协商机制，而目标服务器（或中间代理）仍在使用该机制。以下是安全优先的解决方案：

安全方案：配置OpenSSL允许特定场景的旧协商 #

1. 创建自定义openssl.cnf文件，内容如下：

openssl_conf = default_conf

[default_conf]
ssl_conf = ssl_sect

[ssl_sect]
system_default = system_default_sect

[system_default_sect]
Options = UnsafeLegacyRenegotiation
CipherString = DEFAULT:@SECLEVEL=1

2. 配置环境变量指向该文件：
   • Windows临时生效：set OPENSSL_CONF=C:\path\to\your\openssl.cnf
   • Windows永久生效：setx OPENSSL_CONF "C:\path\to\your\openssl.cnf"（需重启终端）

手动缓存npm包的方法 #

如果无法通过网络正常拉取，可手动下载包到npm缓存：

1. 从npm registry下载对应版本的better-sqlite3包（替换为你需要的版本）
2. 查看npm缓存目录：npm config get cache，一般为%USERPROFILE%\AppData\Local\npm-cache\_cacache
3. 将下载的.tgz文件放到缓存目录，执行npm install better-sqlite3时npm会自动识别缓存中的包

二、解决node-gyp的证书信任问题 #

当npm恢复正常但node-gyp拉取Node headers报错unable to get local issuer certificate，可通过以下方式解决：

1. 配置node-gyp信任公司根证书 #

将公司根证书（.pem/.crt格式）路径添加到环境变量：

• 临时生效：set NODE_EXTRA_CA_CERTS="C:\path\to\company-root-cert.pem"
• 永久生效：npm config set node-gyp:NODE_EXTRA_CA_CERTS "C:\path\to\company-root-cert.pem"

2. 手动下载Node headers并指定路径 #

1. 下载对应Node版本的headers包（比如v19.0.0的headers包）
2. 解压到本地目录，执行安装时指定路径：

npm install better-sqlite3 --nodedir=C:\path\to\extracted-headers-folder

3. 应急方案：强制node-gyp跳过SSL验证（不推荐） #

临时设置环境变量：set NODE_GYP_FORCE_NONSSL=1，然后执行npm install better-sqlite3

内容的提问来源于stack exchange，提问作者Matthew Swaringen