正确处理ssl_shutdown

Question

ssl_shutdown上的OpenSSL文档指出：

因此，建议您检查 ssl_shutdown（）的返回值，并再次调用 ssl_shutdown（） ，如果尚未完成双向关闭（尚未完成）第一个电话是0）。

htttps://www.openssl.org.org/docs/docs/ssl/ssl/ssl/ssl/ssl_shutdown.html

我在下面有一个代码段，其中我从 ssl_shutdown 中检查返回值0，然后再次调用它，我一直在使用。我的问题是，可以在第二个呼叫上忽略 ssl_shutdown 的返回值，否则我们应该继续重试 ssl_shutdown ，直到返回1（BiDirectional Shutdown完成）。

int r = SSL_shutdown(ssl);
//error handling here if r < 0 
if(!r)
{
    shutdown(fd,1);
    SSL_shutdown(ssl); //how should I handle return value and error handling here is it required?? 
}
SSL_free(ssl);
SSLMap.erase(fd);
shutdown(fd,2);
close(fd);

Answer 1

openssl 有点暗艺术。

首先，您引用的页面对html的返回值差。这是Man-page 实际上所说的：

  RETURN VALUES

   The following return values can occur:

   0   The shutdown is not yet finished. Call SSL_shutdown() for a second
       time, if a bidirectional shutdown shall be performed.  The output
       of SSL_get_error(3) may be misleading, as an erroneous
       SSL_ERROR_SYSCALL may be flagged even though no error occurred.

   1   The shutdown was successfully completed. The "close notify" alert
       was sent and the peer's "close notify" alert was received.

   -1  The shutdown was not successful because a fatal error occurred
       either at the protocol level or a connection failure occurred. It
       can also occur if action is need to continue the operation for non-
       blocking BIOs.  Call SSL_get_error(3) with the return value ret to
       find out the reason.

如果您封锁了BIOS，情况相对简单。第一个呼叫上的0表示您需要再次调用 ssl_shutdown ，如果您想要完整的双向关闭。基本上，这意味着您发送了一个Close_notify Alert，但还没有退缩）。 1意味着您以前从其他同伴那里收到了Close_notify警报，并且您已经完成了。 A -1表示无法恢复的错误。在第二个通话中（仅当您获得0后才进行），然后启动双向关闭（即现在从另一侧等待他们向您发送他们的“ Close_notify”警报）。逻辑决定您无法再次获得0（因为这是一个阻止生物，并且将完成第一步）。 A -1表示错误，1表示完成成功。

如果您有非障碍BIOS，则相同的“可能为0，则1”返回值适用，除了需要遍历整个 ssl_err_err_want_read_read 和 ssl_error_want_write rigmarole作为好吧，即：

   If the underlying BIO is non-blocking, SSL_shutdown() will also return
   when the underlying BIO could not satisfy the needs of SSL_shutdown()
   to continue the handshake. In this case a call to SSL_get_error() with
   the return value of SSL_shutdown() will yield SSL_ERROR_WANT_READ or
   SSL_ERROR_WANT_WRITE. The calling process then must repeat the call
   after taking appropriate action to satisfy the needs of SSL_shutdown().
   The action depends on the underlying BIO. When using a non-blocking
   socket, nothing is to be done, but select() can be used to check for
   the required condition. When using a buffering BIO, like a BIO pair,
   data must be written into or retrieved out of the BIO before being able
   to continue.

所以您有两个重复级别。您可以调用 ssl_shutdown “第一次”时间，但如果您获得 ssl_error_want_read 或 ssl_error_want_write 在 select> select> select（Select（）以普通方式循环，仅计数“ first” ssl_shutdown ，如果您获得了非 ssl_error_want _ 错误代码>错误代码（在这种情况下），或者您获得了 0 或 1 返回。如果您获得 1 返回，则已经完成了。如果您获得 0 返回，并且需要双向关闭，则必须进行第二个调用，您将再次需要检查 ssl_error_want_read 或 SSL_ERROR_WANT_WRITE 和重试选择；那不应返回 1 ，但可能会返回0或错误。

不简单。

并首次获得“ 0”，您可以选择然后调用 ssl_read ，而不是 ssl_shutdown （如果Peer仍在向您发送SSL上的任何数据插座），我想，“希望”他们最终从他们的身边向您发送了一个密切的信息，以冲洗管道。

另外，如果您打算在“无论如何”关闭完成后关闭套接字关闭插座，内核应照顾丢弃“现在忽略” CLOSS_NOTIFY警报，大概他们应该发送...