Go语言中TCP连接升级至TLS的实践指南

package main

import (
    "crypto/tls"
    "fmt"
    "io"
    "log"
    "net"
    "time"
)

// 全局或结构体成员，用于存储TLS配置
var serverTLSConfig *tls.Config

func init() {
    // 实际应用中，请替换为您的证书和私钥路径
    cert, err := tls.LoadX509KeyPair("server.crt", "server.key")
    if err != nil {
        log.Fatalf("加载证书和私钥失败: %v", err)
    }

    serverTLSConfig = &tls.Config{
        Certificates: []tls.Certificate{cert},
        // 根据需要配置客户端认证策略
        ClientAuth: tls.NoClientCert, // 或者 tls.VerifyClientCertIfGiven, tls.RequireAndVerifyClientCert
        ServerName: "example.com", // 您的服务器域名
        MinVersion: tls.VersionTLS12, // 建议设置最低TLS版本
    }
}

// 假设这是您的客户端连接处理器
func handleConnection(conn net.Conn) {
    defer conn.Close()

    // 模拟读取客户端命令
    buf := make([]byte, 1024)
    n, err := conn.Read(buf)
    if err != nil {
        if err != io.EOF {
            log.Printf("读取错误: %v", err)
        }
        return
    }
    command := string(buf[:n])
    log.Printf("收到命令: %s", command)

    if command == "STARTTLS\r\n" { // 模拟STARTTLS命令
        // 回复客户端，表示可以开始TLS握手
        _, err := conn.Write([]byte("220 Ready to start TLS\r\n"))
        if err != nil {
            log.Printf("发送220回复失败: %v", err)
            return
        }

        log.Println("尝试升级连接到TLS...")

        // 1. 封装为*tls.Conn
        tlsConn := tls.Server(conn, serverTLSConfig)

        // 2. 执行TLS握手
        err = tlsConn.Handshake()
        if err != nil {
            log.Printf("TLS握手失败: %v", err)
            return
        }
        log.Println("TLS握手成功！")

        // 3. 更新连接引用
        // 现在，所有的读写操作都应该通过tlsConn进行
        // 如果您的处理逻辑使用了更上层的封装（如textproto.Conn），
        // 则需要用新的tlsConn重新初始化该封装。
        conn = net.Conn(tlsConn) // 将tlsConn赋值回conn，以便后续操作使用TLS
        // 示例：如果之前有 textproto.Conn tx; tx.Conn = oldConn
        // 则现在需要 tx.Conn = tlsConn; tx.Text = textproto.NewConn(tx.Conn)
        // 重要的是确保后续的读写是基于TLS连接的。

        // 继续处理TLS加密后的通信
        handleTLSConnection(conn)

    } else {
        _, _ = conn.Write([]byte("500 Command not recognized\r\n"))
        log.Printf("非TLS命令: %s", command)
    }
}

func handleTLSConnection(conn net.Conn) {
    log.Println("正在处理TLS加密后的连接...")
    // 在这里进行TLS加密后的数据读写
    _, _ = conn.Write([]byte("250 OK, TLS session established\r\n"))

    // 示例：读取TLS加密后的数据
    tlsBuf := make([]byte, 1024)
    n, err := conn.Read(tlsBuf)
    if err != nil {
        if err != io.EOF {
            log.Printf("读取TLS数据错误: %v", err)
        }
        return
    }
    log.Printf("通过TLS连接收到数据: %s", string(tlsBuf[:n]))
}

func main() {
    listener, err := net.Listen("tcp", ":2525") // 示例端口
    if err != nil {
        log.Fatalf("监听失败: %v", err)
    }
    defer listener.Close()
    log.Println("服务器正在监听 :2525")

    for {
        conn, err := listener.Accept()
        if err != nil {
            log.Printf("接受连接失败: %v", err)
            continue
        }
        log.Printf("新连接来自: %s", conn.RemoteAddr())
        go handleConnection(conn)
    }
}

// 假设 tx 是一个 textproto.Conn 实例
// tx.Conn 存储着底层的 net.Conn
// tx.Text 是一个 textproto.Reader 和 textproto.Writer

// 升级前
// var tx *textproto.Conn // 假设 tx 已经初始化并绑定到原始 net.Conn

// 升级后
var tlsConn *tls.Conn // 经过 tls.Server 和 Handshake 后的 TLS 连接
// ...
tx.Conn = tlsConn // 将底层连接更新为TLS连接
tx.Reader = textproto.NewReader(bufio.NewReader(tx.Conn)) // 重新初始化Reader
tx.Writer = textproto.NewWriter(bufio.NewWriter(tx.Conn)) // 重新初始化Writer

openssl s_client -starttls smtp -crlf -connect example.com:2525