Nginx 原生不支持在 SSL 握手阶段运行 WebAssembly 模块，因其 WASM 扩展构建于 HTTP 模块之上，依赖已解析的 HTTP 上下文，而 TLS 握手发生在协议识别前且无请求上下文；可于 TLS 完成后、首 HTTP 请求头解析时执行策略判断，支撑指纹筛查、证书校验等场景。
目前 Nginx 原生不支持在 SSL 握手阶段（即 TLS 握手完成前）直接执行 WebAssembly 模块逻辑。WASM 模块（如通过 wasm-nginx-module 加载）仅能在 HTTP 请求生命周期中运行，典型触发点为 on_http_request_headers 或 on_http_response_headers —— 此时 TLS 已完成，连接已加密，请求头已解析。
为什么不能在 SSL 握手阶段运行 WASM？
SSL/TLS 握手发生在 TCP 连接建立之后、HTTP 协议协商之前，属于传输层/安全层行为，而 Nginx 的 WASM 扩展机制构建在 HTTP 模块之上，依赖于已解析的 HTTP 上下文（如 method、path、headers）。在握手完成前，Nginx 尚未识别出这是 HTTP 还是其他协议（如 SMTP、TLS-ALPN 选型中的 h2 或 http/1.1），更无请求上下文可供 WASM 模块读取。
- Nginx 的事件循环在
ngx_event_accept后进入 SSL 状态机，由 OpenSSL/BoringSSL 同步处理密钥交换、证书验证等，该过程不暴露可插拔的 WASM ABI 接口 - Proxy-WASM 规范本身定义的生命周期钩子全部位于应用层（L7），不覆盖 TLS 层（L5–L6）
- 即使使用 Wasmtime 或 WasmEdge，其 runtime 也需由 Nginx HTTP 模块显式调用，而 SSL 模块（
ngx_http_ssl_module）未提供 wasm_call 入口
能做什么：在 TLS 完成后、首字节 HTTP 请求到达前做轻量干预
虽然无法介入握手本身，但可在 TLS 握手成功、连接升级为“安全 HTTP 连接”后的最早时机——即接收第一个 HTTP 请求行和头部时——快速执行策略判断。这已足够支撑多数高价值场景：
-
客户端指纹预筛：通过
ssl_client_hello日志（需启用ssl_preread指令）提取 SNI、ALPN、支持的密码套件等信息，再由 WASM 模块比对风险特征库（如已知扫描器 ALPN 列表） -
证书元数据实时校验：Rust 编写的 WASM 模块可通过
proxy-wasm-sdk-rust访问X-SSL-Client-Cert（需 Nginx 配置proxy_set_header X-SSL-Client-Cert $ssl_client_cert;），解析 PEM 并验证 CN/Organization 是否匹配白名单 -
会话复用策略动态决策：结合
$ssl_session_id和$ssl_session_reused变量，在 WASM 中实现按 client IP 段差异化设置ssl_session_timeout（通过返回 header 控制后续行为，或写入共享内存供其他模块读取）
替代路径：绕过 Nginx 主流程，用外部组件协同
若业务强依赖握手阶段干预（如基于 ClientHello 的实时阻断），需跳出 Nginx WASM 范式，采用分层架构：
-
前置 TLS 代理层：部署
mitmproxy或自研基于 BoringSSL 的 TLS 终端服务，解析 ClientHello 后通过 gRPC 将原始字段（SNI、cipher suites、extensions）发送给 Rust/WASM 微服务做实时判定，再决定是否放行或重定向 -
eBPF + WASM 边缘增强：在 Linux 内核层用 eBPF hook
tcp_connect或ssl_handshake（Linux 6.1+ 支持），提取 TLS 握手数据并传递至用户态 WASM 运行时（如 WasmEdge），实现纳秒级响应；此方案不依赖 Nginx，但需内核支持与运维复杂度上升 - NGINX Plus + Key-Value 共享存储：利用 NGINX Plus 的 keyval 模块，将握手阶段采集的指标（如 SNI 频次）写入共享内存，WASM 模块在请求阶段读取该 KV 表，实现“握手感知”的延迟策略
实用配置示意（TLS 后最早干预点）
以下配置使 WASM 模块在首个 HTTP 请求头部解析完成后立即运行，实际延迟通常
http {
wasm_vm wasmtime /etc/nginx/modules/authz.wasm;
<pre class="brush:php;toolbar:false;">server {
listen 443 ssl;
ssl_certificate /path/to/cert.pem;
ssl_certificate_key /path/to/key.pem;
# 透传关键 TLS 元数据到 WASM 上下文
proxy_set_header X-SSL-Protocol $ssl_protocol;
proxy_set_header X-SSL-Cipher $ssl_cipher;
proxy_set_header X-SSL-Client-Verify $ssl_client_verify;
proxy_set_header X-SSL-Client-DN $ssl_client_s_dn;
location /api/ {
wasm_run authz on_http_request_headers;
proxy_pass http://backend;
}
}
}
对应 Rust WASM 模块中可直接访问这些 header，无需 Base64 解码或字符串解析，性能开销可控。
