Netty使用JDK与OpenSSL的SSL握手日志差异及配置咨询

差异原因 #

• JDK SSL提供方与Netty的集成逻辑中，当客户端携带无效证书（如未信任、签名不匹配等非过期类错误）导致握手校验失败时，会将异常完整传递至Netty的日志框架，触发WARN级日志并附带客户端IP信息。
• OpenSSL提供方（基于netty-tcnative实现）默认仅对标准SSL握手错误（如证书过期）进行日志输出，对于无效证书这类非标准明确的校验失败，底层错误回调未将异常暴露到上层日志系统，导致无日志输出。
• 核心差异在于Netty对两种SSL实现的错误事件分发策略：JDK实现会将更多握手阶段的失败细节向上传递，而OpenSSL实现默认仅记录符合SSL规范定义的严重错误。

配置OpenSSL场景输出全量握手失败日志 #

方法1：自定义SslHandler捕获异常并记录日志 #

继承Netty的SslHandler，重写异常处理方法，手动记录包含客户端IP的握手失败日志：

import io.netty.handler.ssl.SslHandler;
import org.slf4j.Logger;
import org.slf4j.LoggerFactory;
import javax.net.ssl.SSLException;
import io.netty.channel.ChannelHandlerContext;

public class LoggingEnhancedSslHandler extends SslHandler {
    private static final Logger logger = LoggerFactory.getLogger(LoggingEnhancedSslHandler.class);

    public LoggingEnhancedSslHandler(SSLEngine engine) {
        super(engine);
    }

    @Override
    public void exceptionCaught(ChannelHandlerContext ctx, Throwable cause) throws Exception {
        if (cause instanceof SSLException) {
            String clientIp = ctx.channel().remoteAddress().toString();
            logger.warn("SSL握手失败，客户端IP: {}", clientIp, cause);
        }
        // 继续传递异常，不影响原有逻辑
        super.exceptionCaught(ctx, cause);
    }
}

在Artemis的broker.xml连接器配置中指定自定义处理器：

<acceptor name="netty-ssl-acceptor">
    tcp://0.0.0.0:61617?sslEnabled=true;
    keyStorePath=../etc/broker.ks;
    keyStorePassword=your-keystore-password;
    sslHandlerClass=com.yourcompany.LoggingEnhancedSslHandler
</acceptor>

方法2：调整Netty OpenSSL包日志级别 #

将Netty OpenSSL相关包的日志级别设为DEBUG，捕获底层握手错误细节：
以Logback为例，在logback.xml中添加：

<logger name="io.netty.handler.ssl.openssl" level="DEBUG"/>

注意：DEBUG级别会产生大量日志，生产环境建议仅在排查问题时启用，或配合自定义处理器将日志级别控制在WARN。

方法3：启用Artemis内置SSL日志增强 #

确保Artemis的logging.properties中开启Netty相关日志：

logger.netty.level=WARN
logger.netty.handler.ssl.level=WARN

结合自定义SslHandler，可实现既输出客户端IP又控制日志量级的效果。

内容的提问来源于stack exchange，提问作者Mohanavalli Annamalai