Haskell基于tcp-streams/tls包开发Gemini服务端获取客户端证书问题

1. TLS服务端参数配置错误 #

adjustServerParams函数如果未正确配置TLS握手阶段的客户端证书要求，会直接导致证书无法获取：

• 未显式设置客户端证书验证模式为非ClientCertificateIgnore，TLS栈会直接忽略客户端发送的证书数据
• 未配置对应的clientCertificateCallback回调，握手阶段生成的证书数据没有被存储到可访问的上下文里

2. 连接处理阶段证书获取时机错误 #

listenLoop的连接处理逻辑如果没有在正确时机获取证书，会出现空值：

• tcp-streams原生不暴露客户端证书接口，需要直接从底层tls包的Context对象调用getPeerCertificate获取
• 证书获取必须在TLS握手完成后立即执行，部分TLS实现会在握手结束后清理上下文内的临时证书数据，后续数据流处理阶段访问会返回空值

3. 证书传递链路断裂 #

runGemCapsule和listenLoop之间的参数传递如果存在疏漏，会导致上层处理程序拿不到已经获取的证书：

• 连接接受阶段获取到的证书没有被封装到请求/连接结构体的对应字段中
• 处理程序的入参没有预留证书接收位，或者调用处理程序时漏传了证书参数

4. 客户端侧问题 #

可先通过握手日志排除客户端异常：

• 客户端未正确配置携带证书发起请求
• 客户端不信任服务端的TLS证书，因此拒绝向服务端发送客户端证书

内容的提问来源于stack exchange，提问作者Jonathan Lamothe