OpenSSL客户端未发送证书：跨平台TLS通信证书交换故障求助

从你的描述来看，TLS连接能建立但卡在客户端证书交换环节，结合OpenSSL 1.0.2n的环境和Windows客户端的配置，我给你梳理几个关键排查方向：

一、先确认服务器端的客户端证书要求配置 #

服务器要主动要求客户端发送证书，必须正确设置验证模式，你可以检查LoadCertificates函数里是否有类似以下代码：

SSL_CTX_set_verify(ctx, SSL_VERIFY_PEER | SSL_VERIFY_FAIL_IF_NO_PEER_CERT, NULL);

• SSL_VERIFY_PEER 表示服务器会验证客户端证书
• SSL_VERIFY_FAIL_IF_NO_PEER_CERT 表示如果客户端不发证书，握手直接失败（如果只设SSL_VERIFY_PEER，客户端可以选择不发证书，服务器不会强制）

另外，必须确保服务器加载了用来验证客户端证书的CA根证书，也就是你的CAFile参数对应的文件要正确，并且调用了：

if (SSL_CTX_load_verify_locations(ctx, CAFile, NULL) != 1) {
    // 处理加载失败的错误，比如用ERR_print_errors_fp(stderr)打印详情
}

如果服务器没加载信任的CA，即使客户端发了证书，服务器也会验证失败，但如果连证书都没收到，那大概率是客户端没触发发送逻辑。

二、Windows客户端的证书加载问题 #

Windows客户端的证书装在系统存储里，但OpenSSL 1.0.2n在Windows上对系统证书存储的支持有限，默认不会自动从系统存储中选取客户端证书，你需要确认客户端代码是否正确加载了PFX证书：

1. 直接从PFX文件加载（不依赖系统存储）：建议用PKCS12解析逻辑直接加载证书和私钥，示例代码如下：

FILE *fp = fopen("client.pfx", "rb");
if (!fp) { /* 文件打开错误处理 */ }
PKCS12 *p12 = d2i_PKCS12_fp(fp, NULL);
fclose(fp);
if (!p12) { /* PFX解析错误处理 */ }

X509 *cert = NULL;
EVP_PKEY *key = NULL;
STACK_OF(X509) *ca_chain = NULL;
// 替换成你的PFX密码
if (!PKCS12_parse(p12, "your_pfx_password", &key, &cert, &ca_chain)) { /* 解析失败处理 */ }

// 将证书和私钥绑定到SSL对象
SSL_use_certificate(ssl, cert);
SSL_use_PrivateKey(ssl, key);
// 如果有CA链，添加到SSL上下文
if (ca_chain) SSL_CTX_add_extra_chain_certs(ctx, ca_chain);

// 释放资源
PKCS12_free(p12);
X509_free(cert);
EVP_PKEY_free(key);
sk_X509_free(ca_chain);

2. 检查客户端的验证模式：客户端需要确保信任服务器的证书，否则握手会提前中断，建议明确设置：

SSL_CTX_set_verify(ctx, SSL_VERIFY_PEER, NULL);

三、抓包验证握手流程 #

用Wireshark或tcpdump抓TLS握手包，重点确认两个关键点：

• 服务器是否发送了Certificate Request消息：如果没发，说明服务器根本没配置要求客户端证书，回去检查服务器的SSL_CTX_set_verify配置
• 客户端是否回复了Certificate消息：如果没回复，说明客户端没找到合适的证书发送；如果回复了，说明服务器代码的证书处理逻辑有问题（比如验证失败但没输出错误日志）

四、OpenSSL版本兼容性与调试 #

OpenSSL 1.0.2n是2018年的旧版本，存在一些已知的兼容性问题：

• 检查TLS版本协商：服务器和客户端尽量明确指定相同的TLS版本（比如TLS 1.2），避免版本协商异常导致证书流程中断，示例代码：

// 服务器和客户端都设置
SSL_CTX_set_min_proto_version(ctx, TLS1_2_VERSION);
SSL_CTX_set_max_proto_version(ctx, TLS1_2_VERSION);

• 开启调试日志：在代码中添加SSL_CTX_set_options(ctx, SSL_OP_ALL);，然后设置环境变量OPENSSL_DEBUG=1，运行程序时查看详细的握手日志，定位具体环节的错误。

五、服务器代码的错误检查 #

你的LoadCertificates函数片段里，一定要检查每个OpenSSL函数的返回值，比如：

if (SSL_CTX_use_certificate_file(ctx, CertFile, SSL_FILETYPE_PEM) != 1) {
    ERR_print_errors_fp(stderr);
    exit(1);
}
if (SSL_CTX_use_PrivateKey_file(ctx, KeyFile, SSL_FILETYPE_PEM) != 1) {
    ERR_print_errors_fp(stderr);
    exit(1);
}
// 验证私钥和证书是否匹配
if (!SSL_CTX_check_private_key(ctx)) {
    fprintf(stderr, "Private key does not match the certificate public key\n");
    exit(1);
}

如果服务器自身的证书或私钥加载失败，会导致握手流程异常，间接影响客户端证书的请求逻辑。

内容的提问来源于stack exchange，提问作者Maxime