TLS握手异常排查：收到意外*tls.serverKeyExchangeMsg消息

先直接给结论：你确实需要修改代码来处理这个握手问题，下面我来拆解原因和具体的修复方法。

为什么这个站点会发送意外的握手消息？ #

这个错误本质是服务器的TLS配置不符合标准TLS握手流程。正常情况下，Go的TLS客户端在握手过程中会等待certificateStatusMsg（和OCSP Stapling相关的证书状态消息），但这个站点的服务器错误地发送了serverKeyExchangeMsg（服务器密钥交换消息），打乱了预期的握手序列。

这种情况通常出现在：

• 老旧的服务器/负载均衡器（比如某些版本的F5 BIG-IP），它们的TLS实现存在兼容性bug
• 服务器的OCSP Stapling配置异常，导致在应该发送证书状态消息的环节发送了错误内容
• 服务器启用了一些非标准的TLS扩展，和Go的标准TLS库不兼容

如何修改代码解决这个问题？ #

你需要调整tls.Config的参数，让客户端兼容这种非标准的握手行为。具体可以从两个方向入手：强制使用TLS 1.2版本，以及禁用OCSP Stapling。修改后的代码如下：

package main
import (
 "net/http"
 "fmt"
 "os"
 "crypto/tls"
)
func main(){
 client := &http.Client{
 Transport: &http.Transport{
 DisableKeepAlives: false,
 MaxIdleConnsPerHost: 10,
 TLSClientConfig: &tls.Config{
 InsecureSkipVerify: true,
 // 强制使用TLS 1.2，避开TLS 1.3的握手差异
 MinVersion: tls.VersionTLS12,
 MaxVersion: tls.VersionTLS12,
 // 禁用OCSP Stapling，不再等待证书状态消息
 OCSPStaple: false,
 },
 },
 }
 fmt.Println(client)
 req, err := http.NewRequest("GET", os.Args[1], nil)
 if err != nil {
 fmt.Println("Failed to create request: ", err)
 return
 }
 _, err = client.Do(req)
 if err != nil {
 fmt.Println("Something bad happened: ", err)
 } else {
 fmt.Println("Request succeeded!")
 }
}

关键修改点说明： #

• 强制TLS 1.2：这个站点的TLS 1.3实现可能存在兼容性问题，切换到TLS 1.2可以避开不符合标准的握手流程。
• 禁用OCSP Stapling：Go的TLS库默认会请求OCSP Stapling信息，也就是等待certificateStatusMsg，但这个服务器在这个环节发送了错误的消息。关闭OCSP Stapling后，客户端不再等待这个消息，就能顺利完成握手。

额外提示 #

虽然InsecureSkipVerify: true可以跳过证书验证，但这只是临时的调试手段。如果这个脚本是生产环境使用，建议在解决握手问题后，移除这个配置，确保证书验证正常（如果服务器证书本身有问题，那另当别论）。

内容的提问来源于stack exchange，提问作者greenkey