Go tls.Config.SessionTicketsDisabled 怎样影响会话恢复

如果 Go TLS 客户端每次都做完整握手，先不要把原因归到网络慢。tls.Config.SessionTicketsDisabled 控制的是 TLS 会话票据和 PSK（预共享密钥）恢复；客户端还必须有非空的 ClientSessionCache，而服务端也要保留可用的会话票据能力。它和 HTTP keep-alive、TCP 连接复用不是一回事。

这篇只看 Go crypto/tls 的配置边界：怎样判断恢复是否发生、为什么关闭开关后缓存仍在，以及哪些场景适合每次重新验证。

先记结论：默认值为 false 时不等于一定恢复；客户端缓存为 nil 或服务端不接受票据时同样会完整握手。要确认结果，读取 tls.ConnectionState.DidResume。

先分清会话恢复和连接复用

一次 TCP 连接上的多个请求属于连接复用；TLS 会话恢复则是新连接建立时，利用上一条连接留下的会话状态减少握手工作。前者通常由 HTTP 客户端和 Transport 管理，后者由 crypto/tls 的会话票据、PSK 和缓存参与。

SessionTicketsDisabled: true 的含义是禁用 session ticket 和 PSK 恢复支持。它不是“关闭 TLS”，也不是“禁止连接复用”。如果只是想复用同一条 HTTP 连接，不应通过这个字段处理。

分别检查客户端缓存和服务端配置

客户端的 ClientSessionCache 专门保存可用于恢复的 ClientSessionState。官方文档明确指出，客户端在缓存为 nil 时也会禁用 session ticket 支持；因此仅把 SessionTicketsDisabled 留在默认值，并不能保证恢复。

package main

import (
    "crypto/tls"
    "fmt"
)

func clientTLSConfig(disable bool) *tls.Config {
    // 缓存只负责客户端保存会话状态；容量小于 1 时使用库的默认容量。
    cache := tls.NewLRUClientSessionCache(64)
    return &tls.Config{
        ServerName:             "service.example",
        ClientSessionCache:     cache,
        SessionTicketsDisabled: disable,
    }
}

func describe(cfg *tls.Config) {
    // 这里仅展示配置边界，不把“有缓存”误认为“本次连接已恢复”。
    fmt.Printf("disabled=%v cache-present=%v\n", cfg.SessionTicketsDisabled, cfg.ClientSessionCache != nil)
}

服务端则需要能产生或处理会话票据。多实例部署时，服务端票据密钥的管理方式会影响不同实例之间能否识别会话；如果应用显式改变票据策略，应把它和客户端缓存分开排查。服务端是否恢复，仍以连接状态为准。

用 ConnectionState.DidResume 判断结果

不要只拿握手耗时判断恢复，因为网络、证书处理和调度都会改变耗时。握手完成后调用 ConnectionState，其中 DidResume 表示这条连接是否使用了之前的会话状态。

func reportState(conn *tls.Conn) error {
    // Handshake 返回后再读取状态，避免把尚未完成的连接当成恢复成功。
    if err := conn.Handshake(); err != nil {
        return fmt.Errorf("TLS 握手失败: %w", err)
    }
    state := conn.ConnectionState()
    if state.DidResume {
        fmt.Println("本次连接使用了 TLS 会话恢复")
    } else {
        fmt.Println("本次连接执行了完整 TLS 握手")
    }
    return nil
}

这个判断只回答“本次 TLS 连接是否恢复”。它不回答 HTTP 是否复用了连接，也不代表服务端一定接受了所有新的证书策略。

什么时候应该关闭会话恢复

如果恢复连接绕过了你希望每次都执行的某些证书回调或策略检查，应先理解回调边界，再决定是否设置 SessionTicketsDisabled: true。例如，官方文档特别提醒，VerifyPeerCertificate 不会在恢复连接上调用；需要覆盖恢复连接时，应考虑 VerifyConnection，或者直接关闭会话恢复。

测试代码常常需要每次都从完整握手开始，便于隔离证书、协议和服务端状态；此时可以关闭恢复，并在测试名称或配置构造函数中明确说明原因。生产环境则应权衡握手开销、状态同步和安全策略，不能把它当作默认的性能开关。

常见问题

SessionTicketsDisabled 为 false 就一定会恢复吗？不会。客户端需要可用的 ClientSessionCache，服务端也必须接受并提供相应的恢复状态，最终以 DidResume 为准。

它会关闭 HTTP keep-alive 吗？不会。它只影响 TLS 会话票据和 PSK 恢复；HTTP 连接复用应检查 HTTP 客户端和 Transport 的配置。

为什么证书策略变了还可能恢复？恢复连接可能跳过 VerifyPeerCertificate。如果每次连接都必须执行统一策略，使用能覆盖恢复连接的检查方式，或明确关闭会话恢复。

小结

排查 Go TLS 会话恢复时，按“客户端缓存—服务端票据—禁用开关—连接状态”四个边界检查。SessionTicketsDisabled 是 TLS 恢复控制项，不是连接池开关；ClientSessionCache 负责客户端保存状态；最终是否恢复，用 ConnectionState.DidResume 读取，不要凭耗时猜测。