Go语言中实现STARTTLS：将现有TCP连接安全升级为TLS的实践

package main

import (
    "crypto/tls"
    "fmt"
    "log"
    "net"
    "textproto"
    "time" // 假设可能需要用于超时设置，这里仅为示例
)

// 定义全局或结构体中的TLS配置
var globalTLSConfig *tls.Config

// initTLSConfig 初始化TLS配置，加载证书和私钥
func initTLSConfig(certPath, keyPath string) {
    cert, err := tls.LoadX509KeyPair(certPath, keyPath)
    if err != nil {
        log.Fatalf("加载TLS证书和私钥失败: %v", err)
    }

    globalTLSConfig = &tls.Config{
        Certificates: []tls.Certificate{cert},
        // ClientAuth: tls.VerifyClientCertIfGiven, // 如果需要客户端证书验证
        // ServerName: "example.com", // 如果服务器托管多个域名，用于SNI匹配
        MinVersion: tls.VersionTLS12, // 推荐设置最低TLS版本以增强安全性
    }
    log.Println("TLS配置初始化完成。")
}

// ConnectionHandler 结构体用于管理单个客户端连接
type ConnectionHandler struct {
    OriginalConn net.Conn // 原始的TCP连接
    CurrentConn  net.Conn // 当前用于读写的连接，可能是明文或TLS
    Text         *textproto.Conn // 使用textproto.Conn处理文本协议
    IsTLS        bool     // 标记连接是否已升级为TLS
}

// NewConnectionHandler 创建一个新的连接处理器
func NewConnectionHandler(conn net.Conn) *ConnectionHandler {
    handler := &ConnectionHandler{
        OriginalConn: conn,
        CurrentConn:  conn,
        IsTLS:        false,
    }
    handler.Text = textproto.NewConn(handler.CurrentConn)
    return handler
}

// handleConnection 处理客户端连接的生命周期
func (h *ConnectionHandler) handleConnection() {
    defer h.CurrentConn.Close() // 确保连接关闭

    for {
        // 设置读取超时，防止客户端长时间不发送数据
        h.CurrentConn.SetReadDeadline(time.Now().Add(5 * time.Minute))
        line, err := h.Text.Reader.ReadLine()
        if err != nil {
            log.Printf("读取客户端数据失败: %v", err)
            break
        }

        // 假设这是SMTP协议的STARTTLS命令
        if string(line) == "STARTTLS" && !h.IsTLS {
            // 回复客户端，表示服务器准备好进行TLS升级
            h.Text.Writer.PrintfLine("220 Ready to start TLS")
            h.Text.Writer.Flush() // 确保响应立即发送

            // 执行TLS升级
            err := h.upgradeToTLS()
            if err != nil {
                log.Printf("TLS升级失败: %v", err)
                break
            }
            log.Println("连接已成功升级为TLS。")
            // 升级后，标记为TLS连接，并继续处理新的加密通信
            h.IsTLS = true
            continue // 继续循环，处理加密后的命令
        }

        // 处理其他命令... 示例：打印收到的命令
        if h.IsTLS {
            log.Printf("收到加密命令: %s", line)
        } else {
            log.Printf("收到明文命令: %s", line)
        }
        h.Text.Writer.PrintfLine("250 OK") // 简单回复
        h.Text.Writer.Flush()
    }
}

func (h *ConnectionHandler) upgradeToTLS() error {
    if globalTLSConfig == nil {
        return fmt.Errorf("TLS配置未初始化")
    }

    // 1. 将现有的net.Conn封装成tls.Conn
    // tls.Server 不会立即执行握手，它只是创建了一个tls.Conn对象
    tlsConn := tls.Server(h.CurrentConn, globalTLSConfig)

    // 2. 执行TLS握手
    // 这一步至关重要！如果缺少，客户端会因为无法完成握手而报错（如Segmentation fault）
    // Handshake()会阻塞直到握手完成或失败
    err := tlsConn.Handshake()
    if err != nil {
        // 握手失败，例如客户端证书验证失败或协议不兼容
        return fmt.Errorf("TLS握手失败: %w", err)
    }

    // 3. 更新连接对象
    // 现在，所有的读写操作都应该通过这个加密的tlsConn进行
    // 需要更新CurrentConn和Text对象，以使用新的加密连接
    h.CurrentConn = tlsConn
    h.Text = textproto.NewConn(h.CurrentConn) // 重新封装textproto.Conn以使用加密连接

    return nil
}

package main

import (
    "crypto/tls"
    "fmt"
    "log"
    "net"
    "textproto"
    "time"
)

// ... (initTLSConfig, ConnectionHandler, NewConnectionHandler, handleConnection, upgradeToTLS 函数定义如上) ...

func main() {
    //