Jaeger项目TLS握手问题分析与修复

Jaeger是一款开源的分布式追踪系统，在最新版本v1.63.0中，用户报告了一个关于TLS握手的问题。当用户尝试通过浏览器访问Jaeger的查询界面时，控制台会显示"TLS handshake error"错误信息，导致UI无法正常加载。

问题现象

在Windows环境下运行jaeger-all-in-one可执行文件时，如果启用了TLS配置，访问查询端口(默认16686)会出现以下错误：

http: TLS handshake error from [::1]:55388: tls: first record does not look like a TLS handshake

这个问题在v1.62.0版本中不存在，但在v1.63.0版本中开始出现。用户提供的配置参数显示，他们同时启用了查询服务和收集器的TLS功能，并指定了证书和密钥文件路径。

问题根源

经过技术团队分析，这个问题源于v1.63.0版本中引入的OpenTelemetry(OTEL)帮助程序。具体来说，问题出在查询服务的服务器实现中：

1. 在server.go文件中，ToListener()函数已经将监听器升级为TLS监听器
2. 但代码中又额外调用了http.ServeTLS()方法，导致双重TLS处理
3. 这种双重处理使得HTTP/2协议无法正常工作，只能降级使用HTTP/1.1

技术细节

当客户端(如浏览器或curl)尝试建立HTTPS连接时：

1. 服务器端首先通过ToListener()创建TLS监听器
2. 然后错误地再次调用ServeTLS()，期望对连接进行第二次TLS加密
3. 这种双重处理导致协议协商失败，特别是影响HTTP/2的支持
4. 即使连接建立，也只能使用HTTP/1.1协议

测试过程中还发现，现有的单元测试未能捕获这个问题，因为测试用例中设置了条件过滤，只有当ClientCA存在时才运行TLS相关测试。

解决方案

修复方案相对简单：

1. 移除多余的ServeTLS()调用
2. 直接使用基础的http.Serve()方法处理已经TLS加密的连接
3. 确保HTTP/1.1和HTTP/2协议都能正常工作

修复后验证表明：

1. 使用curl工具可以正常访问HTTPS端点
2. 浏览器可以正确加载查询界面
3. 所有TLS功能按预期工作

经验教训

这个案例提醒我们：

1. 在引入新依赖(如OTEL帮助程序)时需要全面测试原有功能
2. 网络协议栈的层级处理需要格外小心，避免重复加密/解密
3. 测试用例的过滤条件可能隐藏潜在问题
4. 协议兼容性(HTTP/1.1 vs HTTP/2)应该作为重要测试点

Jaeger团队已经合并了修复代码，并计划在后续版本中改进测试覆盖率，确保类似问题能够被及早发现。