如何在不降低安全性的前提下修复openssl报错“tls_process_ske_dhe:dh key too small”

tls_process_ske_dhe:dh key too small 报错本质是本地OpenSSL默认安全等级（SECLEVEL=2）要求DH密钥交换参数长度不低于2048位，而你请求的目标服务端使用了长度不足的DH参数（多为1024位）。网上普遍的修改openssl.cnf降低安全等级的方案是主动放宽本地校验规则，属于妥协性处理，确实不适合生产环境使用。

如果你可以控制请求的目标站点 #

这是最优解，直接从源头解决问题：

• 升级目标站点的TLS配置，生成并使用2048位及以上长度的DH参数，操作命令：

  # 生成2048位DH参数文件，生产建议用4096位，生成时间会更长
  openssl dhparam -out /path/to/dhparam.pem 2048
  

• 将新生成的DH参数配置到目标站点的Web服务（Nginx/Apache等）中，重启服务生效即可。
• 额外建议：目标站点优先启用ECDHE密钥交换，ECDHE比DHE性能更高，也不会出现DH参数过短的问题。

如果你无法控制请求的目标站点 #

不需要修改全局OpenSSL配置，只在Guzzle请求层面做针对性配置，不会影响全局安全等级：

• 方案1：Guzzle配置优先禁用DHE密钥交换，改用更高安全的ECDHE或其他加密套件，代码示例：

  $client = new \GuzzleHttp\Client([
      'curl' => [
          CURLOPT_SSL_CIPHER_LIST => 'DEFAULT:!DHE',
      ],
  ]);
  $response = $client->get('你的目标请求地址');
  

  这个配置只是禁用了不安全的DHE套件，不会降低其他请求的安全校验等级，生产环境可用。
• 方案2：如果目标站点仅支持DHE，也可以单独给这个Guzzle客户端指定安全等级，而不是修改全局配置：

  $client = new \GuzzleHttp\Client([
      'curl' => [
          CURLOPT_SSL_CIPHER_LIST => 'DEFAULT@SECLEVEL=1',
      ],
  ]);
  

  注意这个方案只影响当前Guzzle实例的请求，不会改动全局OpenSSL配置，比全局修改的风险小很多，仅用于实在无法调整目标站点的场景。

Docker环境适配注意事项 #

如果你使用的Docker基础镜像默认OpenSSL配置有特殊限制，不需要修改镜像内的/etc/ssl/openssl.cnf，直接在Laravel代码中做上述Guzzle配置即可，不需要改动镜像层内容，也不会影响镜像内其他服务的安全等级。

内容的提问来源于stack exchange，提问作者Alejandro Abraham