傳輸加密-ssl/tls

問：

如何保證和Workerman之間通訊安全？

答：

比較方便的做法是在通訊協(xié)議之上增加一層SSL加密層，比如wss、https協(xié)議都是基于SSL加密傳輸?shù)?，非常安全。Workerman自身支持SSL(需要Workerman>=3.3.7)，只需要設(shè)置下屬性即可開啟SSL。

當(dāng)然開發(fā)者也可以基于某些加解密算法實(shí)現(xiàn)一套自己的加解密機(jī)制。

Workerman開啟ssl方法如下：

準(zhǔn)備工作：

1、Workerman版本不小于3.3.7

2、PHP安裝了openssl擴(kuò)展

3、已經(jīng)申請(qǐng)了證書（pem/crt文件及key文件）放在了/etc/nginx/conf.d/ssl下

代碼：

<?php
use Workerman\Worker;
use Workerman\Connection\TcpConnection;
require_once __DIR__ . '/vendor/autoload.php';

// 證書最好是申請(qǐng)的證書
$context = array(
    'ssl' => array(
        'local_cert'        => '/etc/nginx/conf.d/ssl/server.pem', // 也可以是crt文件
        'local_pk'          => '/etc/nginx/conf.d/ssl/server.key',
        'verify_peer'       => false,
        'allow_self_signed' => true, //如果是自簽名證書需要開啟此選項(xiàng)
    )
);
// 這里設(shè)置的是websocket協(xié)議，也可以http協(xié)議或者其它協(xié)議
$worker = new Worker('websocket://0.0.0.0:443', $context);
// 設(shè)置transport開啟ssl
$worker->transport = 'ssl';
$worker->onMessage = function(TcpConnection $con, $msg) {
    $con->send('ok');
};

Worker::runAll();

Workerman開啟服務(wù)器名稱指示 SNI（Server Name Indication）

可實(shí)現(xiàn)在同一IP、端口情況下，綁定多個(gè)證書。

合并證書.pem和.key文件：

將每個(gè)證書的.pem和對(duì)應(yīng)的.key文件內(nèi)容合并，將.key文件內(nèi)容添加到.pem文件結(jié)尾。（若.pem文件內(nèi)已包含私鑰，則可忽略。）

請(qǐng)注意是單個(gè)證書，不是把所有證書復(fù)制到一個(gè)文件

例如host1.com.pem合并后的pem文件內(nèi)容大概如下：

-----BEGIN CERTIFICATE-----
MIIGXTCBA...
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
MIIFBzCCA...
-----END CERTIFICATE-----
-----BEGIN RSA PRIVATE KEY-----
MIIEowIBAA....
-----END RSA PRIVATE KEY-----

代碼：

<?php
use Workerman\Worker;
use Workerman\Connection\TcpConnection;
require_once __DIR__ . '/vendor/autoload.php';

$context = array(
    'ssl' => array(
        'SNI_enabled' => true, // 開啟SNI
        'SNI_server_certs' => [ // 設(shè)置多個(gè)證書
            'host1.com' => '/path/host1.com.pem', // 證書1
            'host2.com' => '/path/host2.com.pem', // 證書2
        ],
        'local_cert' => '/path/default.com.pem', // 默認(rèn)證書
        'local_pk'   => '/path/default.com.key',
    )
);
$worker = new Worker('websocket://0.0.0.0:443', $context);
$worker->transport = 'ssl';
$worker->onMessage = function(TcpConnection $con, $msg) {
    $con->send('ok');
};

Worker::runAll();