Go语言中将现有TCP连接升级为TLS安全连接的实践指南

package main

import (
    "crypto/tls"
    "fmt"
    "log"
    "net"
    "time"
)

// setupTLSConfig 初始化并返回一个TLS配置
func setupTLSConfig() (*tls.Config, error) {
    // 实际应用中，请替换为你的证书和私钥文件路径
    cert, err := tls.LoadX509KeyPair("server.crt", "server.key")
    if err != nil {
        return nil, fmt.Errorf("加载证书或私钥失败: %v", err)
    }

    tlsConfig := &tls.Config{
        Certificates: []tls.Certificate{cert},
        // ClientAuth决定了服务器是否需要验证客户端证书。
        // tls.NoClientCert: 不要求或验证客户端证书。
        // tls.RequestClientCert: 如果客户端提供，则请求但不验证。
        // tls.RequireAnyClientCert: 必须提供客户端证书，但不验证。
        // tls.VerifyClientCertIfGiven: 如果客户端提供，则验证。
        // tls.RequireAndVerifyClientCert: 必须提供并验证客户端证书。
        ClientAuth: tls.VerifyClientCertIfGiven, // 示例：如果客户端提供，则验证
        ServerName: "example.com",              // 必须与证书中的Common Name或Subject Alternative Names匹配
        MinVersion: tls.VersionTLS12,            // 推荐设置最低TLS版本
    }
    return tlsConfig, nil
}

// handleConnection 模拟处理一个TCP连接
func handleConnection(conn net.Conn, tlsConfig *tls.Config) {
    defer conn.Close()
    log.Printf("接受来自 %s 的连接", conn.RemoteAddr())

    // 模拟读取一些初始命令，例如 STARTTLS
    buffer := make([]byte, 1024)
    n, err := conn.Read(buffer)
    if err != nil {
        log.Printf("读取初始数据失败: %v", err)
        return
    }
    command := string(buffer[:n])
    log.Printf("收到命令: %s", command)

    if command == "STARTTLS\r\n" { // 假设客户端发送 "STARTTLS"
        _, err := conn.Write([]byte("220 Start TLS\r\n")) // 回复客户端，表示准备升级
        if err != nil {
            log.Printf("发送STARTTLS确认失败: %v", err)
            return
        }

        // 将 net.Conn 升级为 *tls.Conn
        tlsConn := tls.Server(conn, tlsConfig)

        // !!! 关键步骤：执行TLS握手 !!!
        err = tlsConn.Handshake()
        if err != nil {
            log.Printf("TLS握手失败: %v", err)
            return
        }

        log.Println("TLS握手成功，连接已加密。")

        // 此时，所有后续的读写操作都应通过 tlsConn 进行
        // 如果你的应用层逻辑需要一个 net.Conn 接口，可以将其转换回去：
        // upgradedConn := net.Conn(tlsConn)
        // 然后使用 upgradedConn 进行读写。
        // 或者，直接使用 tlsConn，它也实现了 net.Conn 接口。

        // 示例：在TLS连接上进行读写
        _, err = tlsConn.Write([]byte("250 OK, TLS channel established.\r\n"))
        if err != nil {
            log.Printf("写入TLS数据失败: %v", err)
            return
        }

        // 继续读取加密数据
        n, err = tlsConn.Read(buffer)
        if err != nil {
            log.Printf("读取TLS数据失败: %v", err)
            return
        }
        log.Printf("收到加密数据: %s", string(buffer[:n]))

    } else {
        _, err := conn.Write([]byte("500 Unrecognized command.\r\n"))
        if err != nil {
            log.Printf("发送错误响应失败: %v", err)
        }
    }
}

func main() {
    tlsConfig, err := setupTLSConfig()
    if err != nil {
        log.Fatalf("TLS配置失败: %v", err)
    }

    listener, err := net.Listen("tcp", ":2525") // 监听一个非标准端口，避免与系统SMTP冲突
    if err != nil {
        log.Fatalf("监听失败: %v", err)
    }
    defer listener.Close()
    log.Println("服务器正在监听 :2525")

    for {
        conn, err := listener.Accept()
        if err != nil {
            log.Printf("接受连接失败: %v", err)
            continue
        }
        go handleConnection(conn, tlsConfig)
    }
}