使用nghttp2开发Binance API的HTTP/2客户端遇SSL错误求助

看起来你在使用nghttp2结合Boost.Asio开发Binance API客户端时碰到了SSL相关错误，我结合你提供的代码片段和这类场景的常见问题，整理了几个针对性的排查和解决步骤：

1. 恢复并正确配置SSL证书验证 #

你代码里注释掉了tls.set_verify_mode(boost::asio::ssl::verify_peer);，虽然是为了开发方便，但这反而可能引发握手异常——Binance使用的是受信任CA颁发的正规证书，完全可以开启验证。建议恢复这行代码，并确保程序能正确加载系统根证书：

// 恢复完整的证书验证逻辑
tls.set_verify_mode(boost::asio::ssl::verify_peer | boost::asio::ssl::verify_fail_if_no_peer_cert);
// 如果你的开发环境找不到默认根证书，可以手动指定CA证书文件路径
// tls.load_verify_file("/path/to/your/ca-certificates.crt");

如果不知道CA证书文件位置，可以下载Mozilla维护的根证书包，指定路径加载即可。

2. 强制启用TLS 1.2及以上版本 #

Binance API要求使用TLS 1.2或更高版本的加密协议，旧版本的Boost.Asio可能默认启用了低版本TLS，导致握手失败。你可以在配置TLS上下文时强制禁用不安全的旧协议：

tls.set_options(boost::asio::ssl::context::default_workarounds |
                boost::asio::ssl::context::no_sslv2 |
                boost::asio::ssl::context::no_sslv3 |
                boost::asio::ssl::context::no_tlsv1 |
                boost::asio::ssl::context::no_tlsv1_1);

3. 确保SNI（服务器名称指示）正确配置 #

现代HTTPS和HTTP/2握手几乎都需要SNI支持，尤其是当服务器托管多个域名时。你需要在SSL流握手时指定目标服务器名称：

// 示例：创建SSL流后设置SNI验证
boost::asio::ssl::stream<boost::asio::ip::tcp::socket> ssl_stream(io_service, tls);
// 验证证书与api.binance.com域名匹配
ssl_stream.set_verify_callback(boost::asio::ssl::rfc2818_verification("api.binance.com"));

如果你使用的是nghttp2的高层封装接口，也需要确认是否自动处理了SNI，没有的话手动补充配置。

4. 捕获详细错误信息定位问题 #

模糊的“SSL错误”很难排查，建议添加错误回调和握手错误捕获，获取更具体的错误描述：

// 添加证书验证回调，输出证书信息
tls.set_verify_callback(
    [](bool preverified, boost::asio::ssl::verify_context& ctx) {
        char subject_name[256];
        X509* cert = X509_STORE_CTX_get_current_cert(ctx.native_handle());
        X509_NAME_oneline(X509_get_subject_name(cert), subject_name, sizeof(subject_name));
        std::cout << "正在验证证书: " << subject_name << std::endl;
        return preverified;
    }
);

// 握手时捕获具体错误
boost::system::error_code handshake_ec;
ssl_stream.handshake(boost::asio::ssl::stream_base::client, handshake_ec);
if (handshake_ec) {
    std::cerr << "握手失败: " << handshake_ec.message() << " (错误码: " << handshake_ec.value() << ")" << std::endl;
    return 1;
}

根据输出的具体错误信息，能更快定位是证书不匹配、协议不兼容还是其他问题。

5. 先通过curl验证网络连通性 #

先排除网络层面的问题，用curl命令测试Binance API的HTTP/2连接是否正常：

curl -v --http2 https://api.binance.com/api/v3/ping

如果curl能正常返回{"response":"pong"}，说明网络和服务器端没问题，问题出在你的代码配置上；如果curl也失败，那可能是代理、防火墙或网络环境的问题。

按照上面的步骤逐一排查，应该能解决你遇到的SSL错误。

内容的提问来源于stack exchange，提问作者Cola_Colin