如何利用Qt的OpenSSL实现非TCP通信加密（支持Diffie-Hellman）

针对你的问题，我结合Qt的SSL架构和实际开发经验，给出以下具体思路：

问题1：简便复用Qt加密实现到非TCP通信 #

Qt的QSslSocket确实深度绑定TCP套接字，底层加密实现（如OpenSSL调用逻辑）多为私有，直接复用难度大，但有两种务实的方向：

1. 用Qt公开SSL工具类+底层加密库（如OpenSSL）手动实现 #

Qt提供了QSslKey、QSslCipher等公开类，可用于管理DH密钥、加密参数，结合底层加密库（Qt默认用OpenSSL，部分平台用Schannel）的API，就能脱离TCP实现DH握手+数据加密，既保留Qt的跨平台封装，又灵活适配非TCP协议。

举个简化的DH握手+对称加密示例：

// 1. 生成DH密钥对（建议预先生成DH参数并保存，避免 runtime 耗时）
DH* dhParams = DH_generate_parameters(2048, DH_GENERATOR_2, nullptr, nullptr);
QSslKey localPrivateKey(reinterpret_cast<const unsigned char*>(DH_get0_priv_key(dhParams)),
                        DH_size(dhParams), QSsl::DiffieHellman, QSsl::PrivateKey);
QSslKey localPublicKey(reinterpret_cast<const unsigned char*>(DH_get0_pub_key(dhParams)),
                       DH_size(dhParams), QSsl::DiffieHellman, QSsl::PublicKey);
DH_free(dhParams);

// 2. 与对方交换公钥后，计算共享密钥
// 假设已收到对方公钥的字节数组remotePubKeyBytes
QSslKey remotePublicKey(remotePubKeyBytes, QSsl::DiffieHellman, QSsl::PublicKey);
DH* dhContext = DH_new();
DH_set0_priv_key(dhContext, const_cast<BIGNUM*>(localPrivateKey.handle()->d));
DH_set0_pub_key(dhContext, const_cast<BIGNUM*>(remotePublicKey.handle()->d));

unsigned char sharedKeyBuffer[256];
int sharedKeyLen = DH_compute_key(sharedKeyBuffer, remotePublicKey.handle()->d, dhContext);
QByteArray sharedSecret(reinterpret_cast<char*>(sharedKeyBuffer), sharedKeyLen);
DH_free(dhContext);

// 3. 用共享密钥派生对称加密密钥（比如用HKDF），再加密数据
// 这里结合OpenSSL的EVP接口实现AES加密
EVP_CIPHER_CTX* encryptCtx = EVP_CIPHER_CTX_new();
QByteArray iv = QByteArray::fromHex("000102030405060708090a0b0c0d0e0f"); // 示例IV，实际要随机生成
EVP_EncryptInit_ex(encryptCtx, EVP_aes_256_cbc(), nullptr, sharedSecret.constData(), iv.constData());

QByteArray plainData = "Hello non-TCP encrypted world!";
QByteArray encryptedData;
int tempLen;
unsigned char tempBuffer[1024];

EVP_EncryptUpdate(encryptCtx, tempBuffer, &tempLen, plainData.constData(), plainData.size());
encryptedData.append(reinterpret_cast<char*>(tempBuffer), tempLen);
EVP_EncryptFinal_ex(encryptCtx, tempBuffer, &tempLen);
encryptedData.append(reinterpret_cast<char*>(tempBuffer), tempLen);

EVP_CIPHER_CTX_free(encryptCtx);

注意：如果你的Qt用Schannel作为SSL后端（比如Windows默认），上述OpenSSL代码不兼容，建议统一指定Qt使用OpenSSL后端（编译时配置-openssl-linked）保证跨平台一致性。

2. 实现自定义QIODevice适配Qt SSL栈 #

如果想完整复用Qt的SSL/TLS握手逻辑（包括证书验证、协商流程），可以参考Qt Wiki那篇文章的思路：创建一个自定义QIODevice子类，封装你的非TCP协议的读写逻辑，然后修改Qt的私有QSslBackend代码，让它接受自定义QIODevice而非硬绑定QTcpSocket。

但这种方式需要修改Qt源码，维护成本高，仅适合对SSL完整性要求极高且愿意维护分支的场景。

问题2：关于本地TCP代理的方式 #

这种方式确实是最快速复用Qt完整SSL栈的捷径，但正如你所说，略显牵强：

• 优点：无需修改Qt，几行代码就能搭建本地SSL代理，快速验证加密逻辑
• 缺点：额外的本地TCP开销，且非TCP协议的特性（比如UDP的无连接）会被TCP层掩盖，可能引入兼容性问题

如果只是做原型验证可以用，但生产环境不推荐。

总结建议 #

• 若只需基础DH+对称加密：优先选择「Qt公开类+OpenSSL底层API」的方案，工作量适中，跨平台可控
• 若需要完整SSL/TLS协议支持：要么接受本地代理的折中方案，要么考虑基于Qt源码修改适配自定义IO设备（长期维护成本高）

内容的提问来源于stack exchange，提问作者Adrien Leravat