provider 与 legacy 算法
OpenSSL 3.x 用 provider 机制组织算法实现：default provider 提供现代算法，legacy provider 提供 DES、RC4、MD4、RC2 等旧算法。3.x 默认只加载 default，因此需要旧算法时必须显式加载 legacy，例如在命令上加 -provider default -provider legacy，或在配置文件中全局启用。这个变化是许多「升级到 3.x 后旧脚本报算法未知」问题的根因。
基本信息
| 查看 | openssl list -providers |
|---|---|
| 加载 legacy | 命令加 -provider default -provider legacy |
| 典型场景 | 解析含 RC2 的 p12、计算 MD4、兼容旧工具链 |
| 配置文件 | 也可在 openssl.cnf 中启用 legacy，但会全局生效 |
| 风险 | 全局启用后新代码也可能误用旧算法 |
典型使用场景
- 升级到 OpenSSL 3.x 后旧脚本报「算法未知」
- 解析用老式加密方式保护的 PKCS#12 文件
- 与只支持旧算法的遗留系统对接
- 排查不同环境下同一命令行为不一致
- 评估全局启用 legacy 的影响范围
按需加载 legacy
按需加载 legacy
openssl list -providers # 查看当前加载的提供者
openssl list -digest-algorithms | grep -i md4 # 确认算法是否可见
openssl pkcs12 -in old.p12 -nodes -legacy -out all.pem # 解析旧格式 p12
openssl dgst -provider default -provider legacy -md4 file # 按需加载 legacy启用方式与影响范围
| 方式 | 生效范围 | 适用场景 |
|---|---|---|
| 命令行 -provider | 单条命令 | 一次性任务与排障 |
| 配置文件 | 该配置文件下的所有命令 | 长期需要旧算法 |
| 环境变量 | 按进程 | 容器或临时环境 |
| 默认 default | 全部 | 现代算法与常规任务 |
legacy 算法只应用于兼容存量数据，不应在新系统中作为默认选择。全局启用 legacy 后要复核是否有新代码误用旧算法，必要时改用命令级参数替代全局配置，把影响范围收窄到真正需要的任务上。
环境一致性提示：容器、CI 与生产机器上的 OpenSSL 版本和配置文件常常不同，同一条命令可能只在其中一处报算法未知。排查这类问题时，先记录三处的版本与 provider 列表，再比较差异，往往一眼就能看出问题出在哪个环节。
补充：如果只是偶尔需要旧算法，优先用命令行参数而不是改配置文件，避免影响同一台机器上的其他任务；改动配置后记得用 openssl list -providers 复核实际生效情况。