Nginx 1.26.3 编译时 OpenSSL 3.5.0 兼容性问题解析

在 FreeBSD 13.5 系统上使用 OpenSSL 3.5.0 编译 Nginx 1.26.3 时，开发者遇到了几个关键的兼容性问题。这些问题主要源于 OpenSSL 3.x 版本对某些 API 的废弃处理以及编译选项的影响。

SSL_SESSION 时间函数问题

当使用 OpenSSL 3.5.0 编译 Nginx 时，构建过程会报错提示 SSL_SESSION_get_time 和 SSL_SESSION_set_time 函数未声明。这是因为：

1. OpenSSL 3.4 开始将这些函数标记为废弃
2. 开发者使用了 no-deprecated 编译选项，导致这些废弃函数被完全移除

解决方案是避免在 OpenSSL 构建配置中使用 no-deprecated 选项，至少在目前阶段，Nginx 尚未完全适配这些变更。

DH 参数处理问题

在解决了第一个问题后，又出现了与 DH (Diffie-Hellman) 参数相关的编译错误：

1. PEM_read_bio_DHparams 函数未声明
2. DH_free 函数未声明
3. 类型转换问题

这些问题源于 OpenSSL 3.5.0 构建时使用了 no-dh 选项。Nginx 代码中仍然依赖这些传统的 DH 参数处理函数。

解决方案

针对这些问题，Nginx 社区已经提供了补丁：

1. 对于 DH 参数处理，更新代码以使用新的 EVP_PKEY API 替代传统的 DH 函数
2. 暂时避免使用 no-deprecated 和 no-dh 编译选项

应用这些修改后，Nginx 1.26.3 可以成功编译并与 OpenSSL 3.5.0 配合工作。

技术背景

OpenSSL 3.x 引入了重大架构变更，逐步淘汰了许多传统 API：

1. 提供了新的 EVP (Envelope) API 作为统一接口
2. 标记了大量传统 API 为废弃
3. 通过编译选项可以完全移除废弃 API

Nginx 作为广泛使用的 Web 服务器，需要逐步适配这些变更。目前阶段，建议在构建 OpenSSL 时保持向后兼容性，为 Nginx 等应用的适配提供过渡期。

最佳实践建议

1. 生产环境中如需使用 OpenSSL 3.x 与 Nginx，建议暂时不要启用 no-deprecated 选项
2. 关注 Nginx 官方更新，及时应用相关补丁
3. 测试环境中可以尝试使用新 API 的补丁版本，为未来完全迁移做准备
4. 理解 OpenSSL 3.x 的 Provider 概念和新的 API 设计理念，为长期兼容性做准备

这些兼容性问题的出现反映了开源生态系统中基础组件升级带来的连锁反应，开发者和系统管理员需要密切关注相关组件的更新动态。