openssl c++ https请求需手动管理完整连接生命周期：从ssl_ctx_new到close，顺序不可乱；证书验证默认关闭，须显式配置verify_mode和ca路径；ssl_read/ssl_write需循环处理；openssl 3.0+ api变化大，需适配初始化与方法调用。
OpenSSL C++ HTTPS 请求必须自己管理连接生命周期
OpenSSL 本身不提供“发个 URL 就返回 JSON”的高层封装，SSL_connect 之前得先 connect TCP，之后还得手动读写 SSL_read/SSL_write，最后要 SSL_shutdown + SSL_free + close。漏掉任意一环，轻则内存泄漏，重则 SSL 握手卡死或服务端复位连接。
- 常见错误现象：
SSL_read返回 0（对方关闭）但没调SSL_shutdown，下次复用SSL*会失败；SSL_free后还调SSL_get1_peer_certificate导致段错误 - 典型场景：需要控制超时、证书校验策略、SNI 主机名、ALPN 协议协商（如 h2）的定制化 HTTPS 客户端
- 关键步骤顺序不能乱：
SSL_CTX_new→SSL_new→SSL_set_fd→SSL_connect→SSL_write→SSL_read→SSL_shutdown→SSL_free→close
证书验证不是默认开启的，必须显式设置 verify_mode 和 CA 路径
默认情况下 SSL_CTX_set_verify 的 mode 是 SSL_VERIFY_NONE，即完全跳过证书链校验 —— 这等于裸奔 HTTPS。即使你调了 SSL_CTX_load_verify_locations 加载了 CA，不改 verify_mode 也没用。
- 容易踩的坑：开发机能通，部署到 Alpine 容器就报
SSL_ERROR_SSL或X509_V_ERR_UNABLE_TO_GET_ISSUER_CERT_LOCALLY，本质是容器里没 CA 证书或路径不对 - 推荐做法：
SSL_CTX_set_verify(ctx, SSL_VERIFY_PEER | SSL_VERIFY_FAIL_IF_NO_PEER_CERT, nullptr)，再配SSL_CTX_set_verify_depth(ctx, 4) - CA 路径差异：
/etc/ssl/certs/ca-certificates.crt（Debian/Ubuntu），/etc/pki/tls/certs/ca-bundle.crt（RHEL/CentOS），Alpine 用/etc/ssl/certs/ca-certificates.crt但需确保 apk add ca-certificates
SSL_read/SSL_write 不保证一次读完响应体，必须循环处理
HTTP 响应头和响应体混在同一个 SSL 流里，SSL_read 可能只返回几十字节（比如刚收到状态行），也可能一次返回整个响应（如果小）。直接假设“读一次就完”会截断 body 或阻塞在下一次 read。
- 常见错误现象：GET 请求返回 HTML 但只拿到前半截，或者 POST 后卡在
SSL_read不返回 - 正确做法：用
SSL_pending判断缓冲区是否还有未读数据；对 HTTP，先解析响应头（找\r\n\r\n），再根据Content-Length或Transfer-Encoding: chunked决定怎么收 body - 性能影响：频繁小 read/write 会放大 syscall 开销，可考虑用
SSL_set_mode(ctx, SSL_MODE_ENABLE_PARTIAL_WRITE)配合应用层缓冲
OpenSSL 1.1.1+ 和 3.0+ 的 API 差异会影响编译和行为
OpenSSL 3.0 弃用了大量低层函数，比如 SSLv23_client_method 已被移除，必须用 SSL_CTX_new(TLS_client_method())；OPENSSL_init_ssl 初始化方式也变了。混合使用旧代码和新头文件会导致链接失败或运行时崩溃。
立即学习“C++免费学习笔记（深入）”；
- 错误信息示例：
undefined reference to 'SSLv23_client_method'（3.0+）、'OPENSSL_init_ssl' was not declared in this scope（忘了加#define OPENSSL_API_COMPAT 30000） - 兼容建议：CMake 中用
find_package(OpenSSL REQUIRED)后检查${OPENSSL_VERSION}，分支处理初始化逻辑；避免硬编码SSL_library_init()（1.1.1 已废弃） - 安全影响：OpenSSL 1.1.1 将于 2023 年底停止支持，3.0+ 强制要求 provider 模型，FIPS 模式启用方式完全不同
真正难的不是连上 HTTPS，而是把证书验证、协议降级防护（禁用 TLS 1.0/1.1）、SNI、ALPN、session 复用、错误码映射这些细节全串起来还不漏内存 —— 每个点单独看简单，合在一起就是状态机地狱。
