node js 18以后由于 OpenSSL 加密，需要调整一下环境变量

'# node js 18以后由于 OpenSSL 加密，需要调整一下环境变量

一、背景与问题

Node.js 18版本引入了对OpenSSL 3.0的全面支持，这标志着Node.js生态在加密领域的重大变革。OpenSSL 3.0的显著改进包括：

引入FIPS（Federal Information Processing Standard）合规性验证机制
支持更丰富的加密算法套件
改变默认的配置文件加载方式
强化证书验证的严格程度

这一变更导致在Node.js 18及后续版本中，需要通过环境变量显式配置OpenSSL相关参数。例如：

# Linux/macOS
export OPENSSL_CONF=/usr/local/etc/openssl/openssl.cnf

# Windows
set OPENSSL_CONF=C:\OpenSSL\openssl.cnf

若未正确配置，可能会遇到以下典型错误：

Error: error:0308010C:PEM routines:OPENSSL_internal:incorrect PEM header

或

Error: error:0308010C:PEM routines:OPENSSL_internal:incorrect PEM header

二、基本原理

1. OpenSSL在Node.js中的角色

Node.js通过node:crypto模块调用OpenSSL库，其核心工作流程如下：

加载OpenSSL配置文件（openssl.cnf）
解析证书和私钥文件
使用OpenSSL API进行加密/解密操作
验证证书链有效性

在Node.js 18中，OpenSSL 3.0的引入带来了以下关键变化：

配置文件加载机制改变：默认不再从/etc/openssl/openssl.cnf加载
强化证书验证：默认启用strict模式，要求证书必须包含subjectAltName字段
弃用部分旧算法：如SSLv2、SSLv3等协议

2. 环境变量的作用

Node.js通过以下环境变量控制OpenSSL行为：

OPENSSL_CONF：指定配置文件路径
SSL_CERT_FILE：指定证书文件路径（默认./cert.pem）
SSL_KEY_FILE：指定私钥文件路径（默认./privkey.pem）
NODE_TLS_REJECT_UNAUTHORIZED：控制是否拒绝未授权证书（默认1）

三、环境准备

1. 安装Node.js 18

# 使用nvm安装
nvm install 18

# 或直接安装
curl -fsSL https://deb.nodesource.com/setup_18.x | sudo -E bash -
sudo apt-get install -y nodejs

2. 安装OpenSSL 3.0

# Linux
sudo apt-get install -y openssl

# macOS
brew install openssl@3

3. 配置环境变量

# Linux/macOS
export OPENSSL_CONF=/usr/local/etc/openssl/openssl.cnf
export SSL_CERT_FILE=/path/to/cert.pem
export SSL_KEY_FILE=/path/to/privkey.pem

# Windows
set OPENSSL_CONF=C:\OpenSSL\openssl.cnf
set SSL_CERT_FILE=C:\cert.pem
set SSL_KEY_FILE=C:\privkey.pem

四、核心实现

1. 基础配置示例

// app.js
const fs = require('fs');
const https = require('https');

const options = {
  key: fs.readFileSync(process.env.SSL_KEY_FILE || 'privkey.pem'),
  cert: fs.readFileSync(process.env.SSL_CERT_FILE || 'cert.pem'),
  // 启用严格证书验证
  rejectUnauthorized: true
};

https.createServer(options, (req, res) => {
  res.writeHead(200, {'Content-Type': 'text/plain'});
  res.end('Hello from HTTPS server\n');
}).listen(443, () => {
  console.log('HTTPS server running on port 443');
});

关键代码解释：

使用process.env获取环境变量
指定证书和私钥文件路径
启用rejectUnauthorized严格验证模式

2. 配置文件示例

# openssl.cnf
[openssl_conf]
oid_section = oid_section
providers = provider_sect

[oid_section]
oid = 1.2.3.4.5.6.7.8.9.0

[provider_sect]
default = default
default-legacy = default
default-legacy-async = default

3. FIPS模式配置

// fips-check.js
const { FIPS } = require('node:crypto');

if (!FIPS) {
  console.error('FIPS mode not enabled');
  process.exit(1);
}

console.log('FIPS mode is enabled');

五、完整案例

1. HTTPS服务器实现

// server.js
const fs = require('fs');
const https = require('https');
const express = require('express');

const app = express();

// 证书和私钥路径配置
const certPath = process.env.SSL_CERT_FILE || './cert.pem';
const keyPath = process.env.SSL_KEY_FILE || './privkey.pem';

// 加载证书和私钥
const cert = fs.readFileSync(certPath);
const key = fs.readFileSync(keyPath);

// 创建HTTPS服务器
const options = {
  key: key,
  cert: cert,
  // 启用严格证书验证
  rejectUnauthorized: true
};

const server = https.createServer(options, (req, res) => {
  // 处理请求
  res.writeHead(200, {'Content-Type': 'application/json'});
  res.end(JSON.stringify({ status: 'ok', timestamp: Date.now() }));
});

// 启动服务器
server.listen(443, () => {
  console.log('HTTPS server running on port 443');
});

2. 客户端验证示例

// client.js
const https = require('https');

const options = {
  hostname: 'localhost',
  port: 443,
  // 指定信任的CA证书
  ca: fs.readFileSync('./ca-cert.pem')
};

https.get(options, (res) => {
  console.log('Status code:', res.statusCode);
  res.on('data', (chunk) => {
    console.log('Response:', chunk.toString());
  });
}).on('error', (err) => {
  console.error('Error:', err.message);
});

六、源码解析

1. Node.js源码中的OpenSSL配置

在node:crypto模块中，OpenSSL配置的加载逻辑位于：

// src/crypto/crypto_module.cc
void InitializeCryptoModule() {
  // 加载OpenSSL配置文件
  const char* openssl_conf = getenv("OPENSSL_CONF");
  if (openssl_conf) {
    OPENSSL_config(openssl_conf);
  } else {
    // 默认配置
    OPENSSL_config(NULL);
  }
}

2. 证书验证流程

在node:https模块中，证书验证流程涉及：

// src/http_client.cc
void SSL_set_alpn_protos(SSL* s, const unsigned char* protos, size_t len) {
  // 设置ALPN协议
}

七、进阶使用

1. 生产环境配置建议

# 生产环境配置文件
export OPENSSL_CONF=/etc/ssl/openssl.cnf
export SSL_CERT_FILE=/etc/ssl/certs/localhost.crt
export SSL_KEY_FILE=/etc/ssl/private/localhost.key

2. Docker容器配置

# Dockerfile
FROM node:18

# 设置环境变量
ENV OPENSSL_CONF=/etc/ssl/openssl.cnf \
    SSL_CERT_FILE=/etc/ssl/certs/localhost.crt \
    SSL_KEY_FILE=/etc/ssl/private/localhost.key

# 复制证书文件
COPY certs/ /etc/ssl/certs/
COPY keys/ /etc/ssl/private/

# 启动应用
CMD ["node", "server.js"]

3. 使用FIPS模式

# 启动FIPS模式
OPENSSL_FIPS=1 node server.js

八、性能与工程实践

1. 性能优化建议

使用内存缓存证书文件
避免频繁读取磁盘文件
启用TLS会话缓存
使用异步IO处理证书验证

// 优化后的证书加载
const certCache = {};

function getCertificate() {
  if (certCache[process.env.SSL_CERT_FILE]) {
    return Promise.resolve(certCache[process.env.SSL_CERT_FILE]);
  }
  return new Promise((resolve, reject) => {
    fs.readFile(process.env.SSL_CERT_FILE, (err, data) => {
      if (err) reject(err);
      certCache[process.env.SSL_CERT_FILE] = data;
      resolve(data);
    });
  });
}

2. 安全注意事项

避免硬编码证书文件路径
定期更新证书文件
使用强加密算法套件
配置ciphers参数限制弱算法

// 加密算法配置
const ciphers = 'TLS_AES_256_GCM_SHA384:TLS_CHACHA20_POLY1305_SHA256';

九、常见问题与踩坑

1. 常见错误及解决办法

错误信息	原因	解决方案
`incorrect PEM header`	证书文件格式错误	检查PEM格式是否正确
`unable to get local issuer certificate`	未配置CA证书	设置`SSL_CERT_FILE`环境变量
`SSL_CTX_new() failed`	OpenSSL配置错误	检查`OPENSSL_CONF`路径
`FIPS mode not enabled`	未启用FIPS模式	设置`OPENSSL_FIPS=1`环境变量

2. 典型错误示例

// 错误示例：硬编码证书路径
const cert = fs.readFileSync('./cert.pem');

// 正确做法：使用环境变量
const cert = fs.readFileSync(process.env.SSL_CERT_FILE || './cert.pem');

十、最佳实践

生产环境建议：
- 使用独立的证书管理服务
- 配置OPENSSL_CONF指向集中管理的配置文件
- 启用FIPS模式确保合规性
开发环境建议：
- 使用临时证书文件
- 设置NODE_TLS_REJECT_UNAUTHORIZED=0临时禁用验证
- 使用--openssl-legacy-provider启用旧版本兼容性
部署建议：
- 在Docker容器中配置环境变量
- 使用Kubernetes ConfigMap管理证书文件
- 配置ciphers参数限制弱算法

十一、总结

Node.js 18对OpenSSL的升级带来了更安全的加密体系，但也要求开发者必须显式配置相关环境变量。本文深入分析了OpenSSL配置的工作原理，通过多个代码示例展示了如何正确配置环境变量，并提供了完整的HTTPS服务器实现案例。

在实际开发中，应根据具体场景选择合适的配置方案：生产环境建议启用FIPS模式并集中管理证书；开发环境可临时禁用验证以提高开发效率。同时需要特别注意证书管理的安全性，避免因配置错误导致的中间人攻击风险。

随着OpenSSL 3.0的普及，建议持续关注Node.js的更新动态，及时调整配置策略，确保系统始终处于安全、稳定的运行状态。