Go crypto/tls 怎样通过 ConnectionState 判断会话是否恢复

Go 的 crypto/tls 判断一次连接是否复用了既有 TLS 会话，不需要解析握手日志。握手成功后调用 Conn.ConnectionState()，读取返回结构中的 DidResume 字段即可：true 表示本次连接成功从之前的会话恢复，false 表示没有发生会话恢复。

官方资料地址：https://pkg.go.dev/crypto/tls#ConnectionState

需要注意，DidResume 判断的是 TLS 会话恢复，不是 TCP 连接复用，也不是 HTTP keep-alive。本文只讨论这个状态字段的读取和解释边界。

先明确 ConnectionState 的判断边界

ConnectionState 是 crypto/tls 暴露的连接状态快照。它包含协议版本、握手是否完成、是否恢复、密码套件和 ALPN 协商结果等信息。真正回答“本次会话有没有恢复”的字段只有 DidResume。

读取状态时应先确保握手成功，再把 DidResume 当作一个布尔观测值。不要因为它是 false 就直接断言 TLS 配置错误。

在握手完成后读取 DidResume

对客户端连接来说，最直接的时机是 Handshake() 返回成功之后。调用 ConnectionState() 会得到一个值类型快照，适合马上提取字段并写入自己的观测结构。

package main

import (
	"crypto/tls"
	"fmt"
)

type tlsObservation struct {
	Version     uint16
	Resumed     bool
	ALPN        string
	CipherSuite uint16
}

func observeTLS(conn *tls.Conn) (tlsObservation, error) {
	if err := conn.Handshake(); err != nil {
		// 握手失败时没有可靠的会话恢复结论，先把原始错误交给调用方。
		return tlsObservation{}, fmt.Errorf("TLS 握手失败: %w", err)
	}

	state := conn.ConnectionState()
	return tlsObservation{
		Version:     state.Version,
		Resumed:     state.DidResume,
		ALPN:        state.NegotiatedProtocol,
		CipherSuite: state.CipherSuite,
	}, nil
}

关键顺序是“握手成功—读取状态—复制需要的字段”。如果连接还没有完成握手，不能把结构中的零值当作一次确认过的 false。

把首次握手和恢复会话分开记录

生产日志中可以保留 DidResume、TLS 版本和 ALPN，但不要记录会话票据、密钥材料或可用于解密流量的调试数据。建议把布尔值映射为两个明确的事件标签，而不是只写一条模糊的“TLS connected”。

func tlsEvent(state tls.ConnectionState) string {
	if state.DidResume {
		// true 只表示 TLS 会话恢复成功，不等于底层连接被复用。
		return "tls_session_resumed"
	}
	// false 可以覆盖首次握手或恢复条件不满足，日志应保留其他状态字段。
	return "tls_full_handshake"
}

图2把握手完成、状态采集、DidResume 分支和观测用途放在同一张静态关系图中。它帮助区分“读取字段”和“由字段派生指标”这两个层次，不代表某次线上运行结果。

处理客户端缓存和服务端条件变化

连续两次连接中第一次为 false、第二次仍为 false，不能仅凭这个字段判定 API 不生效。会话恢复还受到客户端是否保存会话状态、服务端是否接受票据、配置是否变化以及会话是否过期等条件影响。

排查时建议只围绕三类事实记录：

1. 本次握手是否成功，以及 state.HandshakeComplete 是否为 true。
2. 本次连接的 state.DidResume、TLS 版本和协商协议是什么。
3. 客户端与服务端是否仍处在允许会话恢复的配置和生命周期内。

不要把连接池复用、HTTP 请求复用或同一个域名解析结果当作 TLS 会话恢复证据；它们属于不同层次。

补上性能与安全边界

ConnectionState() 适合在握手完成后读取一次并抽取字段。不要在每个请求的日志路径上反复复制完整证书链、OCSP 响应或其他大型字段；只保留当前指标需要的字段即可。

安全上也不要为了证明“恢复成功”而启用长期密钥日志。DidResume 已经是官方状态字段，足以用于业务指标；会话票据和密钥材料应继续由 crypto/tls 管理。

常见问题

DidResume 为 false 是否表示握手失败？

不是。握手成功后，false 通常表示本次没有成功恢复，会话可能是首次建立或恢复条件不满足。握手失败应由 Handshake() 返回的错误判断。

DidResume 为 true 是否表示复用了同一条 TCP 连接？

不是。它只说明 TLS 会话从之前的会话状态成功恢复；TCP 连接是否复用要由连接管理层单独判断。

可以在 Handshake 之前读取 ConnectionState 吗？

可以获得一个状态值，但在握手未完成时不应把其中的零值当成最终结论。先处理握手错误，再读取状态更容易避免误报。

小结

判断 Go TLS 会话是否恢复，核心只有三点：先让握手成功完成，再调用 ConnectionState()，最后读取 DidResume。true 表示成功恢复，false 表示没有恢复；它不等价于 TCP、HTTP 或连接池复用。把这个字段和 TLS 版本、ALPN 一起记录，就能得到足够清晰且不泄露敏感材料的连接观测。