s_client 为什么不动了
openssl s_client 连上以后不会自己退出，因为它默认进入交互模式，等你在标准输入里敲内容。手工排障时这很方便，放进脚本或 CI 里就成了灾难：任务一直挂着，最后被上层超时杀掉，看起来像是网络或服务故障。解决办法是给它一个 EOF（重定向 /dev/null 或用 echo 管道）或加外层超时限制，再把输出收敛到关键行，避免解析格式随版本变化的完整输出。
基本信息
| 根因 | 交互模式等待标准输入，连接不断开进程就不结束 |
|---|---|
| 脚本做法 | </dev/null 或 echo | 提供 EOF，外面再套 timeout |
| 输出控制 | -brief 精简输出，便于脚本取关键字段 |
| 交互排错 | -quiet 减少噪声，-msg / -state 看握手细节 |
| 退出方式 | 交互模式下输入 Q 回车主动关闭 |
| 适用范围 | Linux / macOS / Windows 的 OpenSSL 命令行 |
典型使用场景
- 健康巡检脚本：批量探测证书有效期，必须保证每个连接都会自动结束。
- CI 流水线校验：上线前检查证书链，避免任务挂起拖垮流水线。
- 定时任务告警：探测失败要能区分超时、证书错误与网络不可达。
- 交互排障：临时观察握手细节时用安静模式减少干扰。
- 跨平台运维：Windows 上同样存在该行为，脚本写法保持一致。
避免挂起的写法
避免挂起的写法
# 重定向标准输入，读到 EOF 后正常退出
openssl s_client -connect example.com:443 -servername example.com </dev/null
# 外层加超时，双保险
timeout 5 openssl s_client -connect example.com:443 -servername example.com -brief </dev/null
# 脚本里只取关心的一行，避免依赖完整输出格式
openssl s_client -connect example.com:443 -servername example.com -brief </dev/null 2>/dev/null | head -20输出与退出读法
| 现象 | 含义 | 处理 |
|---|---|---|
| 命令回车后长时间无输出 | 等待标准输入或服务端未响应 | 补 </dev/null 或加 timeout |
| 提示 Verify return code 后不退出 | 握手已完成，等待输入 | 提供 EOF 即可正常结束 |
| 卡在 CONNECTED 无后续 | 网络或服务端问题 | 结合 timeout 与抓包判断 |
| 输出随版本变化 | 文本格式在不同版本间调整 | 改用 -brief 且只匹配关键字段 |
脚本里优先依赖 -brief 的关键行，不要解析完整输出；不同发行版 OpenSSL 版本的文本格式有差异，白名单式的关键行匹配更耐用。