如何用Ruby的OpenSSL库实现POP3的STARTTLS连接？

问题背景 #

我能通过命令行使用openssl s_client工具连接要求STARTTLS的POP3服务器，命令如下：

openssl s_client -connect pop3.example.com:110 -starttls pop3

但不知道怎么用Ruby的OpenSSL库实现相同功能，尤其是其中-starttls pop3对应的逻辑。目前我的代码是这样的：

tcp_socket = TCPSocket.new host, port
ssl_context = OpenSSL::SSL::SSLContext.new
ssl_client = OpenSSL::SSL::SSLSocket.new tcp_socket, ssl_context
ssl_client.connect

解决方案 #

你的现有代码直接在TCP连接后启动SSL握手，跳过了POP3协议层面的STARTTLS协商流程，这就是问题所在。-starttls pop3的核心是：先建立普通TCP连接，完成POP3的STARTTLS命令交互，再切换到加密连接。

下面是完整的实现代码，每一步都做了注释：

require 'socket'
require 'openssl'

host = 'pop3.example.com'
port = 110

# 1. 建立普通TCP连接到POP3默认端口110
tcp_socket = TCPSocket.new(host, port)

# 2. 读取服务器的初始问候语（POP3服务器会主动发送+OK开头的消息）
greeting = tcp_socket.gets
puts "服务器初始问候: #{greeting}"
raise "连接失败，未收到预期的服务器问候" unless greeting&.start_with?('+OK')

# 3. 发送STARTTLS命令给服务器，等待确认响应
tcp_socket.puts "STARTTLS"
starttls_response = tcp_socket.gets
puts "STARTTLS命令响应: #{starttls_response}"
raise "服务器不支持STARTTLS" unless starttls_response&.start_with?('+OK')

# 4. 初始化SSL上下文并完成SSL握手
ssl_context = OpenSSL::SSL::SSLContext.new
# 如果你需要验证服务器证书，可以设置 ssl_context.verify_mode = OpenSSL::SSL::VERIFY_PEER
ssl_client = OpenSSL::SSL::SSLSocket.new(tcp_socket, ssl_context)
ssl_client.connect

# 现在可以通过ssl_client发送加密后的POP3命令了
# 示例：发送用户名和密码（实际使用时替换成你的账号）
ssl_client.puts "USER your_email@example.com"
puts ssl_client.gets
ssl_client.puts "PASS your_email_password"
puts ssl_client.gets

# 用完记得关闭连接
ssl_client.close
tcp_socket.close

关键说明 #

• POP3的STARTTLS是应用层协议协商，必须先让服务器知道要切换到加密模式，才能启动SSL握手，这和直接连接SSL端口（比如POP3S的995端口）不一样
• ssl_client.connect会触发SSL握手，这一步和openssl s_client在收到STARTTLS确认后启动加密的逻辑完全一致
• 如果需要验证服务器的SSL证书，记得设置ssl_context.verify_mode = OpenSSL::SSL::VERIFY_PEER，避免中间人攻击

内容的提问来源于stack exchange，提问作者Denny