使用tls_client_method时如何确定实际启用的TLS/SSL协议版本？

嘿，作为TLS/SSL新手，你提的这个问题特别实用——毕竟知道实际协商的协议版本，不管是排查兼容性问题还是确认安全等级都很重要。针对你用LibreSSL的场景，我给你整理了几个简单易懂的方法：

1. 直接获取可读版本字符串（最适合新手） #

握手完成后（也就是SSL_connect(tls.ssl)返回成功之后），你可以用SSL_get_version()函数直接拿到像TLSv1.3、TLSv1.2这类直观的字符串，完美符合你想要显示类似TLSV1这类信息的需求。

示例代码：

// 确保已经成功完成TLS握手
if (SSL_connect(tls.ssl) == 1) {
    const char *actual_version = SSL_get_version(tls.ssl);
    printf("当前连接实际使用的协议版本：%s\n", actual_version);
} else {
    // 处理握手失败的情况
    fprintf(stderr, "TLS握手失败：%s\n", ERR_error_string(ERR_get_error(), NULL));
}

2. 获取版本数值用于逻辑判断（进阶场景） #

如果你需要对协议版本做条件判断（比如检查是否是TLSv1.2及以上的安全版本），可以用SSL_get_protocol_version()拿到对应的数值，再和LibreSSL头文件里定义的宏做对比。

常见的版本宏对应关系：

• TLS1_3_VERSION → TLSv1.3
• TLS1_2_VERSION → TLSv1.2
• TLS1_1_VERSION → TLSv1.1
• TLS1_VERSION → TLSv1
• SSL3_VERSION → SSLv3（现在基本被禁用，你的TLS_client_method()默认也不会启用它）

示例代码：

if (SSL_connect(tls.ssl) == 1) {
    unsigned int ver_num = SSL_get_protocol_version(tls.ssl);
    char *ver_str;
    switch(ver_num) {
        case TLS1_3_VERSION:
            ver_str = "TLSv1.3";
            break;
        case TLS1_2_VERSION:
            ver_str = "TLSv1.2";
            break;
        case TLS1_1_VERSION:
            ver_str = "TLSv1.1";
            break;
        case TLS1_VERSION:
            ver_str = "TLSv1";
            break;
        case SSL3_VERSION:
            ver_str = "SSLv3";
            break;
        default:
            ver_str = "未知协议版本";
            break;
    }
    printf("当前连接实际使用的协议版本：%s\n", ver_str);
}

给新手的额外建议 #

• 时机很重要：上面的两个函数必须在TLS握手成功后调用，握手前调用会返回不确定的结果，一定要注意顺序。
• 限制协议版本提升安全性：如果你想避免使用老旧的不安全协议，可以用SSL_CTX_set_min_proto_version()和SSL_CTX_set_max_proto_version()来设置版本范围，比如强制只使用TLSv1.2及以上：

  SSL_CTX_set_min_proto_version(tls.ctx, TLS1_2_VERSION);
  

• 兼容性提示：你用的这些API在OpenSSL里也是完全通用的，所以以后如果切换到OpenSSL环境，这段代码不需要大改。

内容的提问来源于stack exchange，提问作者barfatchen