簡(jiǎn)介OpenSSL 1.0 的 64 位靜態(tài)庫(kù)難找libeay64.lib 與 ssleay64.lib 一包搞定。資源面向在 Windows 下使用 Visual Studio 開(kāi)發(fā)、需要直接鏈接 OpenSSL 的 C/C 程序員省去編譯源碼、排查工具鏈的繁瑣過(guò)程。壓縮包共 168 個(gè)文件以 138 個(gè)頭文件為主覆蓋 SSL、EVP、X509、EC 等常用模塊的 API 聲明與常量定義另含 25 個(gè) .in 配置模板、4 個(gè) .lib 庫(kù)文件及 1 個(gè) applink.c整體僅 5.14MB方便快速集成到 x64 工程。作者附帶了條件編譯示例可按 _M_X64 自動(dòng)選擇 64 位或 32 位庫(kù)免去手動(dòng)調(diào)整項(xiàng)目配置的麻煩。已有 313 人學(xué)習(xí)下載如果你正需要 OpenSSL 1.0 的加密與 SSL/TLS 能力這份編譯好的資源可明顯縮短開(kāi)發(fā)準(zhǔn)備周期。 做Windows平臺(tái)C/C開(kāi)發(fā)的大概率都跟OpenSSL打過(guò)交道尤其是老項(xiàng)目。最近因?yàn)榻邮忠粋€(gè)歷史遺留的64位服務(wù)端程序需要在Visual Studio環(huán)境里靜態(tài)鏈接OpenSSL目標(biāo)就是標(biāo)題里這個(gè)經(jīng)典的組合libeay64.lib和ssleay64.lib?？赡苡腥擞X(jué)得奇怪OpenSSL 1.0都EOL多少年了怎么還有人往回找現(xiàn)實(shí)就是存量系統(tǒng)、商業(yè)組件綁定、老設(shè)備協(xié)議棧這些不是說(shuō)換就能換的。與其天天被兼容性問(wèn)題折磨不如把這一套老庫(kù)的獲取、編譯、集成、排障路徑徹底捋清楚。這篇東西適合誰(shuí)三類人一是正在維護(hù)Windows老項(xiàng)目的工程師二是需要在不升級(jí)系統(tǒng)的情況下給老服務(wù)補(bǔ)安全補(bǔ)丁的朋友三是單純想搞明白“為什么我編出來(lái)的OpenSSL庫(kù)文件名和教程不一致”的新手。我盡量按實(shí)操路線講從原理到命令再到VS里的配置全走一遍。1. 項(xiàng)目背景與需求拆解1.1 這倆文件到底是什么來(lái)頭libeay64.lib和ssleay64.lib叫法上是OpenSSL在Windows平臺(tái)上的64位靜態(tài)庫(kù)。更準(zhǔn)確地說(shuō)libeay對(duì)應(yīng)的是OpenSSL的底層加解密庫(kù)cryptossleay對(duì)應(yīng)的是SSL/TLS協(xié)議層ssl。這兩個(gè)名字是老傳統(tǒng)的延續(xù)早期OpenSSL在Windows上分成libeay32和ssleay32后來(lái)為了區(qū)分32位和64位很多團(tuán)隊(duì)在編譯或分發(fā)時(shí)會(huì)把64位版本改名為libeay64.lib、ssleay64.lib。這里有個(gè)特別容易踩的坑OpenSSL官方1.0.x版本的Makefile即使是64位編譯默認(rèn)生成的靜態(tài)庫(kù)名依然叫l(wèi)ibeay32.lib和ssleay32.lib只有個(gè)別第三方發(fā)布包或自己改過(guò)的構(gòu)建腳本才會(huì)用libeay64.lib這個(gè)名字。所以你如果下載到名為libeay64.lib的庫(kù)不要懷疑它就是OpenSSL 1.0.x的64位靜態(tài)版只是編譯者改了輸出名。1.2 為什么還在用OpenSSL 1.0聊這個(gè)得講點(diǎn)實(shí)在的。OpenSSL 1.0.2u是1.0系列的最后一個(gè)版本官方早已停止維護(hù)但是它在行業(yè)里的存量極多。常見(jiàn)原因包括老產(chǎn)品代碼基于1.0.x的API寫(xiě)的升級(jí)到1.1.x甚至3.x接口變更太猛維護(hù)成本高。某些行業(yè)軟件、硬件設(shè)備、加密機(jī)只認(rèn)1.0的協(xié)議棧行為。項(xiàng)目里其他第三方庫(kù)和OpenSSL耦合太深牽一發(fā)動(dòng)全身。系統(tǒng)是老版本Linux或Windows編譯新版本依賴太高跑不動(dòng)。所以在這個(gè)背景下我強(qiáng)烈建議如果你能用OpenSSL 1.1.1或3.x優(yōu)先用新的如果實(shí)在離不開(kāi)1.0至少把補(bǔ)丁級(jí)別打到1.0.2u并且把降級(jí)、遷移的成本提前評(píng)估好。下面所有內(nèi)容都是基于1.0.2u這個(gè)版本做的。1.3 靜態(tài)庫(kù)與動(dòng)態(tài)庫(kù)的選擇邏輯標(biāo)題里點(diǎn)明要的是靜態(tài)庫(kù)這背后的部署需求很典型。靜態(tài)庫(kù)的優(yōu)點(diǎn)是鏈接進(jìn)exe/dll后不依賴外部OpenSSL動(dòng)態(tài)庫(kù)部署機(jī)器上不用特意裝VC運(yùn)行庫(kù)之外的DLL程序拷過(guò)去就能跑。缺點(diǎn)是多個(gè)模塊鏈接同一份靜態(tài)庫(kù)時(shí)內(nèi)存里會(huì)有多份代碼副本而且一旦OpenSSL有安全更新你得重新編譯整個(gè)程序。動(dòng)態(tài)庫(kù)的優(yōu)點(diǎn)是方便升級(jí)DLL但Windows上“DLL地獄”大家都懂特別是OpenSSL這種依賴一堆系統(tǒng)庫(kù)的組件DLL版本不一致會(huì)直接導(dǎo)致加載失敗或運(yùn)行時(shí)崩潰。很多企業(yè)級(jí)軟件堅(jiān)持用靜態(tài)庫(kù)就是為了規(guī)避這種問(wèn)題。我在做這塊的時(shí)候也延續(xù)了這個(gè)思路最終交付的目錄里絕對(duì)不允許出現(xiàn)libeay32.dll和ssleay32.dll這種運(yùn)行期依賴。2. 工具鏈準(zhǔn)備與編譯原理2.1 編譯OpenSSL 1.0.x需要哪些武器Windows上編OpenSSL靜態(tài)庫(kù)核心工具四件套工具作用推薦選擇PerlOpenSSL的Configure腳本依賴Perl沒(méi)有它寸步難行Strawberry Perl 或 ActivePerlNASM匯編優(yōu)化編譯x64匯編代碼提速關(guān)鍵算法NASM 2.14及以上Visual StudioC編譯器、頭文件、nmake構(gòu)建工具VS2015/2017/2019均可命令行環(huán)境必須用VS提供的x64環(huán)境普通cmd沒(méi)有nmake所需變量“x64 Native Tools Command Prompt”這里說(shuō)明一下為什么裝NASM。OpenSSL里AES、SHA等核心實(shí)現(xiàn)有匯編版本性能比純C快很多64位編譯時(shí)默認(rèn)會(huì)嘗試匯編優(yōu)化。如果你機(jī)器上沒(méi)裝NASMConfigure階段可以用no-asm參數(shù)跳過(guò)但編出來(lái)的庫(kù)性能會(huì)差一些。我們平時(shí)自己用、給內(nèi)部項(xiàng)目用性能不是瓶頸所以no-asm也不丟人但如果你做的是網(wǎng)關(guān)、負(fù)載均衡這類高吞吐組件NASM必須裝而且版本不能太老。2.2 為什么必須用VS的x64命令行很多朋友在普通cmd里敲nmake結(jié)果提示“未找到命令”是因?yàn)閚make不是系統(tǒng)命令它由VS安裝目錄提供需要vcvars64.bat之類的環(huán)境初始化。最穩(wěn)妥的方式是直接打開(kāi)“開(kāi)始菜單 - Visual Studio 2019 - x64 Native Tools Command Prompt for VS 2019”這樣環(huán)境變量、PATH、INCLUDE、LIB都已就緒后面編譯OpenSSL時(shí)Perl和nmake能正確找到編譯器。2.3 編譯目標(biāo)的配置邏輯OpenSSL 1.0.2的Configure參數(shù)里有一個(gè)關(guān)鍵選項(xiàng)VC-WIN64A。這個(gè)字符串代表“Visual C Windows x64平臺(tái)”。很多人會(huì)寫(xiě)VC-WIN32那是32位的別搞混。我們需要靜態(tài)庫(kù)所以目標(biāo)makefile選nt.mak而不是ntdll.mak。nt.mak生成靜態(tài)庫(kù)ntdll.mak生成動(dòng)態(tài)庫(kù)這個(gè)區(qū)別非常關(guān)鍵。我在本地實(shí)操時(shí)用的配置過(guò)程大致如下perl Configure VC-WIN64A no-asm --prefixC:\build\openssl-1.0.2u-x64 ms\do_win64a.bat nmake -f ms\nt.mak這里刻意用了no-asm來(lái)減小環(huán)境依賴如果你裝了NASM且希望啟用匯編優(yōu)化去掉no-asm即可。另外--prefix參數(shù)是指定后續(xù)nmake install的安裝目錄如果你只需要編譯產(chǎn)物不需要全局安裝這個(gè)參數(shù)可以留著反正不影響靜態(tài)庫(kù)生成本身。整個(gè)過(guò)程中如果報(bào)錯(cuò)先檢查Perl版本和VS環(huán)境OpenSSL 1.0.2對(duì)Perl 5.30以上的兼容性偶爾會(huì)有小毛病但Strawberry Perl 5.32實(shí)測(cè)能編過(guò)。3. 編譯流程與集成實(shí)操3.1 從源碼到libeay64.lib的完整步驟為了保證大家復(fù)現(xiàn)時(shí)不打轉(zhuǎn)我按自己實(shí)際跑通的順序完整列一遍。假設(shè)你把OpenSSL 1.0.2u源碼解壓到了C:\openssl-1.0.2uVS打開(kāi)的是x64 Native Tools命令行。cd C:\openssl-1.0.2u perl Configure VC-WIN64A no-asm --prefixC:\build\openssl-1.0.2u-x64 ms\do_win64a.bat nmake -f ms\nt.mak執(zhí)行完三步后文件會(huì)生成在源碼目錄下的out64文件夾里典型產(chǎn)物包括libeay32.lib、ssleay32.lib、libeay32.dllnt.mak理論上不生成dll但有時(shí)候我之前手里的版本會(huì)順帶輸出dll見(jiàn)鬼以及一堆頭文件。接下來(lái)如果你想要標(biāo)題里說(shuō)的libeay64.lib和ssleay64.lib只要手動(dòng)把out64里的libeay32.lib重命名成libeay64.libssleay32.lib重命名成ssleay64.lib即可。當(dāng)然你也可以在Makefile里改輸出名但改動(dòng)過(guò)多容易引入問(wèn)題手動(dòng)重命名最省心。我建議把重命名后的庫(kù)連同頭文件一起放到一個(gè)獨(dú)立的目錄比如C:\ThirdParty\OpenSSL-1.0.2u\x64\lib和C:\ThirdParty\OpenSSL-1.0.2u\x64\include方便后續(xù)各個(gè)項(xiàng)目統(tǒng)一引用。3.2 Visual Studio項(xiàng)目的鏈接配置庫(kù)編出來(lái)了頭文件拷好了接下來(lái)是VS工程里怎么正確引用。這部分我踩過(guò)不少坑重點(diǎn)是以下幾個(gè)方面。第一C/C - 常規(guī) - 附加包含目錄添加crypto頭文件和ssl頭文件的所在目錄。OpenSSL 1.0的頭文件結(jié)構(gòu)比較樸素include目錄下直接就是openssl文件夾你不需要額外加openssl子目錄作為包含目錄編譯器會(huì)在代碼里寫(xiě)#include openssl/ssl.h所以附加目錄指到include上級(jí)即可。第二鏈接器 - 常規(guī) - 附加庫(kù)目錄指向libeay64.lib、ssleay64.lib所在目錄。第三鏈接器 - 輸入 - 附加依賴項(xiàng)至少要寫(xiě)libeay64.lib ssleay64.lib ws2_32.lib crypt32.lib user32.lib advapi32.lib gdi32.lib為什么還需要后面這幾個(gè)系統(tǒng)庫(kù)因?yàn)镺penSSL在Windows上要調(diào)用socket相關(guān)APIws2_32、證書(shū)庫(kù)crypt32和底層系統(tǒng)服務(wù)advapi32。不把這些補(bǔ)全鏈接階段會(huì)報(bào)一堆LNK2001無(wú)法解析的外部符號(hào)。靜態(tài)庫(kù)的特性就是你的exe必須把所有依賴收口不能指望DLL幫你兜底。第四預(yù)處理定義里不要漏掉OPENSSL_USE_APPLINK這個(gè)宏在一些場(chǎng)景下和Windows的applink.c機(jī)制有關(guān)如果你鏈接時(shí)出現(xiàn)與文件訪問(wèn)、動(dòng)態(tài)加載相關(guān)的詭異問(wèn)題大概率是這個(gè)宏沒(méi)定義。完整的做法是編譯OpenSSL時(shí)在工程里加入applink.c文件但多數(shù)場(chǎng)景加上這個(gè)宏就夠了。3.3 運(yùn)行庫(kù)類型要跟庫(kù)的編譯選項(xiàng)保持一致這個(gè)坑幾乎人人都會(huì)踩。OpenSSL 1.0.x的官方構(gòu)建腳本編譯時(shí)默認(rèn)使用動(dòng)態(tài)運(yùn)行庫(kù)/MD。如果你的VS項(xiàng)目設(shè)置成了多線程調(diào)試/MTd或者多線程/MT鏈接時(shí)就會(huì)報(bào)類似“LNK2038檢測(cè)到RuntimeLibrary的不匹配”的錯(cuò)。解決方案有兩個(gè)方向方向一把項(xiàng)目運(yùn)行庫(kù)改成“多線程DLL/MD”或“多線程調(diào)試DLL/MDd”跟OpenSSL保持一致。方向二在Configure階段給OpenSSL加上額外參數(shù)讓它編譯時(shí)也用靜態(tài)運(yùn)行庫(kù)這需要改Configure腳本或環(huán)境變量復(fù)雜且容易出錯(cuò)。我的建議是你項(xiàng)目里統(tǒng)一定義成/MD因?yàn)閃indows上大多數(shù)第三方庫(kù)都是這個(gè)默認(rèn)值改OpenSSL反而孤僻。另外注意如果你的exe最終部署到?jīng)]有安裝VC運(yùn)行庫(kù)的機(jī)器上那你需要在發(fā)布包里帶上對(duì)應(yīng)版本的VC Runtime或者在項(xiàng)目里用靜態(tài)運(yùn)行庫(kù)/MT并重新編譯整個(gè)依賴鏈。這屬于另一個(gè)層面的部署選擇改之前先想清楚。3.4 驗(yàn)證庫(kù)是否鏈接成功鏈接成功不代表萬(wàn)事大吉還是得寫(xiě)一段最簡(jiǎn)單的代碼驗(yàn)證一下比如打印版本號(hào)、做一個(gè)TLS握手示例。一個(gè)小例子#include stdio.h #include openssl/ssl.h int main() { SSL_library_init(); SSL_CTX* ctx SSL_CTX_new(TLS_client_method()); if (ctx) { printf(OpenSSL version: %s\n, OpenSSL_version(OPENSSL_VERSION)); SSL_CTX_free(ctx); } return 0; }這段代碼在1.0.2里編譯會(huì)有個(gè)小問(wèn)題OpenSSL_version這個(gè)函數(shù)是1.1.0才加的1.0.2里對(duì)應(yīng)的應(yīng)該是SSLeay_version(SSLEAY_VERSION)。所以如果你拿到的是1.0.x庫(kù)用下面這版#include stdio.h #include openssl/ssl.h int main() { SSL_library_init(); SSL_CTX* ctx SSL_CTX_new(SSLv23_client_method()); if (ctx) { printf(OpenSSL version: %s\n, SSLeay_version(SSLEAY_VERSION)); SSL_CTX_free(ctx); } return 0; }能正常編譯并打印出OpenSSL 1.0.2u字樣說(shuō)明鏈接鏈路沒(méi)問(wèn)題。再用Dependency Walker或系統(tǒng)自帶dumpbin檢查exe的導(dǎo)入表如果里面有l(wèi)ibeay64.lib和ssleay64.lib里導(dǎo)出的符號(hào)且沒(méi)有依賴libeay32.dll那就是標(biāo)準(zhǔn)的靜態(tài)鏈接成功。4. 常見(jiàn)問(wèn)題與排查技巧實(shí)錄4.1 鏈接期符號(hào)解析失敗的排查套路使用靜態(tài)庫(kù)時(shí)LNK2001和LNK2019是最常見(jiàn)的鏈接錯(cuò)誤。除了上一節(jié)提到的系統(tǒng)庫(kù)依賴還容易漏掉OpenSSL內(nèi)部依賴。比如你在代碼里用了EVP相關(guān)的函數(shù)但鏈接器提示無(wú)法解析EVP_aes_256_cbc這時(shí)候首先要檢查libeay64.lib是否真的進(jìn)入了附加依賴項(xiàng)因?yàn)镋VP系列函數(shù)屬于crypto庫(kù)也就是libeay64.lib。如果確認(rèn)庫(kù)都在但符號(hào)還是找不到可以用dumpbin工具看導(dǎo)出的符號(hào)名是否和你調(diào)用的API一致比如dumpbin /LINKERMEMBER libeay64.lib | findstr EVP_aes_256_cbc如果導(dǎo)出了但名稱后面帶一個(gè)數(shù)字那說(shuō)明你鏈接的庫(kù)是32位的thiscall約定或編譯器調(diào)用約定不匹配。但OpenSSL是C接口正常情況不會(huì)這樣出現(xiàn)這種詭異現(xiàn)象十有八九是庫(kù)混用了32位的庫(kù)、64位的項(xiàng)目或者反過(guò)來(lái)。記住libeay64.lib是64位庫(kù)VS項(xiàng)目平臺(tái)必須是x64不是x86。4.2 /MT還是/MD導(dǎo)致的LNK2038問(wèn)題LNK2038字面意思是運(yùn)行時(shí)庫(kù)不匹配。這個(gè)問(wèn)題我在幫同事排查時(shí)見(jiàn)過(guò)太多次。OpenSSL 1.0.2的官方構(gòu)建默認(rèn)是/MD所以項(xiàng)目里最好也設(shè)置成“多線程DLL/MD”。如果你必須用/MT需要手工修改OpenSSL的編譯參數(shù)讓Perl配置時(shí)傳入--with-ssl-dir是沒(méi)用的必須在makefile里調(diào)整CFLAGS的/MD為/MT然后重新編譯整個(gè)OpenSSL。這個(gè)路徑比較復(fù)雜如果你不是對(duì)OpenSSL構(gòu)建機(jī)制很熟建議還是改自己項(xiàng)目的運(yùn)行庫(kù)設(shè)置。另外還要注意/MD和/MDd是兩碼事。鏈接release版的libeay64.lib時(shí)項(xiàng)目配置項(xiàng)里運(yùn)行庫(kù)選/MDd會(huì)導(dǎo)致調(diào)試和發(fā)布符號(hào)不一致可能也能編譯過(guò)去但運(yùn)行時(shí)不安全。最好嚴(yán)格對(duì)齊release項(xiàng)目用/MDdebug項(xiàng)目可以考慮單獨(dú)編一份debug版靜態(tài)庫(kù)編譯參數(shù)加/MTd或/MDd。4.3 運(yùn)行時(shí)崩潰和初始化問(wèn)題鏈接能過(guò)但運(yùn)行崩潰先看有沒(méi)有錯(cuò)誤碼。常見(jiàn)的是0x000126這不是OpenSSL專門(mén)的錯(cuò)誤碼而是系統(tǒng)找不到所需的DLL或入口點(diǎn)。雖然我們用了靜態(tài)庫(kù)但如果代碼里同時(shí)加載了舊版本的libeay32.dll系統(tǒng)服務(wù)所依賴的DLL還是可能觸發(fā)這個(gè)問(wèn)題。排查方式是用Process Monitor或dumpbin看exe依賴確保加載路徑下沒(méi)有殘留的libeay32.dll或ssleay32.dll。很多時(shí)候程序目錄里放著以前用過(guò)的DLL靜態(tài)鏈接版程序運(yùn)行時(shí)還是會(huì)優(yōu)先加載同目錄DLL導(dǎo)致執(zhí)行了舊代碼行為錯(cuò)亂。另一個(gè)運(yùn)行時(shí)坑是SSL_library_init()忘記調(diào)用。1.0.x時(shí)代有些api可以自動(dòng)初始化但SSL_CTX_new之前手動(dòng)調(diào)SSL_library_init還是穩(wěn)妥的。舊版本教程里經(jīng)常不寫(xiě)這行結(jié)果一運(yùn)行就崩還找不到原因。4.4 服務(wù)端返回unexpected eof while reading怎么辦這個(gè)詞最近在熱搜里出現(xiàn)率很高具體報(bào)錯(cuò)是error:0A000126:SSL routines::unexpected eof while reading雖然這個(gè)錯(cuò)誤碼格式偏向OpenSSL 3.x但底層的“EOF while reading”問(wèn)題在1.0里也有。通常原因有三個(gè)服務(wù)端關(guān)閉了連接但沒(méi)有發(fā)送close_notify協(xié)商的TLS版本不受支持或者中間設(shè)備中斷連接。如果你用1.0靜態(tài)庫(kù)做客戶端去連老設(shè)備大概率是服務(wù)端只支持SSLv3或TLS1.0而1.0.2默認(rèn)已經(jīng)不開(kāi)啟這些舊協(xié)議。處理辦法是在SSL_CTX上設(shè)置SSL_CTX_set_options(ctx, SSL_OP_NO_SSLv2 | SSL_OP_NO_SSLv3);或者反過(guò)來(lái)如果你的場(chǎng)景需要兼容極老設(shè)備可以調(diào)整允許的協(xié)議范圍?？傊@個(gè)錯(cuò)誤不一定是靜態(tài)庫(kù)本身的問(wèn)題先抓包確認(rèn)對(duì)端TLS行為再?zèng)Q定配置方向。4.5 常見(jiàn)問(wèn)題速查表現(xiàn)象可能原因解決辦法LNK2001無(wú)法解析的外部符號(hào)缺少系統(tǒng)依賴庫(kù)在附加依賴項(xiàng)加入ws2_32.lib、crypt32.lib、user32.lib、advapi32.lib、gdi32.libLNK2038檢測(cè)到RuntimeLibrary不匹配OpenSSL是/MD項(xiàng)目是/MT把項(xiàng)目的運(yùn)行庫(kù)改成“多線程DLL /MD”LNK2019符號(hào)找不到32/64位庫(kù)混用確認(rèn)項(xiàng)目平臺(tái)是x64使用libeay64.lib運(yùn)行時(shí)0x000126錯(cuò)誤程序目錄存在舊版OpenSSL DLL清理exe同目錄下的libeay32.dll、ssleay32.dll調(diào)用SSL函數(shù)崩潰未初始化SSL庫(kù)在使用SSL_CTX_new前調(diào)用SSL_library_init()對(duì)端握手后報(bào)eof錯(cuò)誤協(xié)議版本或?qū)Χ岁P(guān)閉異常正確設(shè)置SSL_OP_NO_SSLv2/SSLv3必要時(shí)抓包確認(rèn)5. 給老項(xiàng)目的一點(diǎn)遷移建議5.1 從1.0.x到1.1.x/3.x的差異注意點(diǎn)如果未來(lái)?xiàng)l件允許還是建議往新版本遷移畢竟1.0.2已經(jīng)停止維護(hù)。遷移時(shí)最大的感受是API變化主要集中在這幾個(gè)地方很多函數(shù)加了前綴比如HMAC()變成了HMAC()依然存在但初始化上下文的方式變了。SSL_CTX_new(TLS_client_method())統(tǒng)一替代了老的SSLv23_client_method()。OpenSSL版本宏從SSLeay_version換成了OpenSSL_version。編譯產(chǎn)物命名也變了在1.1.0之后Windows上crypto庫(kù)變成了libcrypto.lib、ssl庫(kù)變成了libssl.lib不再有l(wèi)ibeay和ssleay的叫法。如果你的代碼里到處是RSA_、EVP_、SSL_CTX_*這類老接口把庫(kù)換成新版本后編譯會(huì)先爆炸一輪。建議遷移前先把接口層封裝好不要讓業(yè)務(wù)代碼直接和OpenSSL API糾纏。5.2 二進(jìn)制兼容性底線如果你暫時(shí)無(wú)法遷移至少要保證三點(diǎn)一是使用最新補(bǔ)丁版本1.0.2u二是編譯時(shí)啟用FIPS相關(guān)的選項(xiàng)要慎重因?yàn)镕IPS模塊的認(rèn)證和庫(kù)構(gòu)建方式都會(huì)影響最終集成三是定期用第三方掃描工具檢查老庫(kù)的已知漏洞清單把風(fēng)險(xiǎn)記錄在案。另外靜態(tài)庫(kù)方式雖然部署方便但每次上游修復(fù)安全漏洞后你都必須重新編譯所有依賴于它的模塊。這實(shí)際上是把維護(hù)成本從“換DLL”變成了“重編譯回歸測(cè)試”做決策前要有預(yù)期。我個(gè)人的經(jīng)驗(yàn)是老庫(kù)不是不能用但使用方必須清楚它背后維護(hù)的責(zé)任邊界。把編譯腳本、版本信息、依賴清單全部固化到文檔里等哪天真要升級(jí)這些東西能幫你省一半時(shí)間。畢竟OpenSSL的坑誰(shuí)踩誰(shuí)知道老版本的坑更是踩一個(gè)準(zhǔn)一個(gè)。本文還有配套的精品資源點(diǎn)擊獲取