如何使用相同的TLS会话连接到具有数据连接的FTPS服务器？

实际上，某些 FTP 服务器确实要求将 TLS/SSL 会话重新用于数据连接。这是一种安全措施，通过该措施，服务器可以验证数据连接是否由与控制连接相同的客户端使用。

常见 FTP 服务器的一些参考：

• vsftpd： https://scarybeastsecurity.blogspot.com/2009/02/vsftpd-210-released.html
• FileZilla 服务器： https://svn.filezilla-project.org/filezilla?view=revision&revision=6661
• ProFTPD： http://www.proftpd.org/docs/contrib/mod_tls.html#TLSOptions （ 指令）NoSessionReuseRequired

可能有助于您实现的是，Cyberduck FTP（S）客户端确实支持TLS / SSL会话重用，并且它使用Apache Commons Net库：

• https://github.com/iterate-ch/cyberduck/issues/5087 – 在数据连接上重用会话密钥

• 请参阅其FTPClient.java代码（扩展Commons Net），特别是它对_prepareDataSocket_方法的覆盖：FTPSClient

   @Override
   protected void _prepareDataSocket_(final Socket socket) {
       if(preferences.getBoolean("ftp.tls.session.requirereuse")) {
           if(socket instanceof SSLSocket) {
               // Control socket is SSL
               final SSLSession session = ((SSLSocket) _socket_).getSession();
               if(session.isValid()) {
                   final SSLSessionContext context = session.getSessionContext();
                   context.setSessionCacheSize(preferences.getInteger("ftp.ssl.session.cache.size"));
                   try {
                       final Field sessionHostPortCache = context.getClass().getDeclaredField("sessionHostPortCache");
                       sessionHostPortCache.setAccessible(true);
                       final Object cache = sessionHostPortCache.get(context);
                       final Method putMethod = cache.getClass().getDeclaredMethod("put", Object.class, Object.class);
                       putMethod.setAccessible(true);
                       Method getHostMethod;
                       try {
                           getHostMethod = socket.getClass().getMethod("getPeerHost");
                       }
                       catch(NoSuchMethodException e) {
                           // Running in IKVM
                           getHostMethod = socket.getClass().getDeclaredMethod("getHost");
                       }
                       getHostMethod.setAccessible(true);
                       Object peerHost = getHostMethod.invoke(socket);
                       putMethod.invoke(cache, String.format("%s:%s", peerHost, socket.getPort()).toLowerCase(Locale.ROOT), session);
                   }
                   catch(NoSuchFieldException e) {
                       // Not running in expected JRE
                       log.warn("No field sessionHostPortCache in SSLSessionContext", e);
                   }
                   catch(Exception e) {
                       // Not running in expected JRE
                       log.warn(e.getMessage());
                   }
               }
               else {
                   log.warn(String.format("SSL session %s for socket %s is not rejoinable", session, socket));
               }
           }
       }
   }
  

• 似乎该方法被添加到Commons Net中，专门用于允许TLS / SSL会话重用实现：
  https://issues.apache.org/jira/browse/NET-426_prepareDataSocket_FTPSClient

  对重用的本机支持仍处于挂起状态：
  https://issues.apache.org/jira/browse/NET-408

• 您显然需要覆盖Spring集成，以返回具有会话重用支持的自定义实现。DefaultFtpsSessionFactory.createClientInstance()FTPSClient

自 JDK 8u161 起，上述解决方案不再独立工作。

根据 JDK 8u161 更新发行说明（以及@Laurent的答案）：

添加了TLS会话哈希和扩展主密钥扩展支持
...
如果出现兼容性问题，应用程序可以通过在 JDK 中将系统属性设置为来禁用此扩展的协商。jdk.tls.useExtendedMasterSecretfalse

也就是说，您可以调用它来解决问题（您仍然需要覆盖）：_prepareDataSocket_

System.setProperty("jdk.tls.useExtendedMasterSecret", "false");

尽管这应该被视为一种解决方法。我不知道一个适当的解决方案。

另一种实现在这里：
https://issues.apache.org/jira/browse/NET-408

关于 1.8.0_161 中的问题，还有一个单独的问题：
JDK 8u161 中 Apache FTPS 客户端中的 SSL 会话重用

实际上，我过去也遇到过同样的问题（只是在C++/ OpenSSL中，我不做Java），所以我知道该用谷歌搜索什么。

您可以使用以下 SSLSessionReuseFTPSClient 类：

import java.io.IOException;
import java.lang.reflect.Field;
import java.lang.reflect.Method;
import java.net.Socket;
import java.util.Locale;

import javax.net.ssl.SSLSession;
import javax.net.ssl.SSLSessionContext;
import javax.net.ssl.SSLSocket;

import org.apache.commons.net.ftp.FTPSClient;

public class SSLSessionReuseFTPSClient extends FTPSClient {

    // adapted from:
    // https://trac.cyberduck.io/browser/trunk/ftp/src/main/java/ch/cyberduck/core/ftp/FTPClient.java
    @Override
    protected void _prepareDataSocket_(final Socket socket) throws IOException {
        if (socket instanceof SSLSocket) {
            // Control socket is SSL
            final SSLSession session = ((SSLSocket) _socket_).getSession();
            if (session.isValid()) {
                final SSLSessionContext context = session.getSessionContext();
                try {
                    final Field sessionHostPortCache = context.getClass().getDeclaredField("sessionHostPortCache");
                    sessionHostPortCache.setAccessible(true);
                    final Object cache = sessionHostPortCache.get(context);
                    final Method method = cache.getClass().getDeclaredMethod("put", Object.class, Object.class);
                    method.setAccessible(true);
                    method.invoke(cache, String
                            .format("%s:%s", socket.getInetAddress().getHostName(), String.valueOf(socket.getPort()))
                            .toLowerCase(Locale.ROOT), session);
                    method.invoke(cache, String
                            .format("%s:%s", socket.getInetAddress().getHostAddress(), String.valueOf(socket.getPort()))
                            .toLowerCase(Locale.ROOT), session);
                } catch (NoSuchFieldException e) {
                    throw new IOException(e);
                } catch (Exception e) {
                    throw new IOException(e);
                }
            } else {
                throw new IOException("Invalid SSL Session");
            }
        }
    }
}

使用 openJDK 1.8.0_161 ：

我们必须设置：

System.setProperty("jdk.tls.useExtendedMasterSecret", "false");

根据 http://www.oracle.com/technetwork/java/javase/8u161-relnotes-4021379.html

添加了 TLS 会话哈希和扩展主密钥扩展支持

如果出现兼容性问题，应用程序可以通过在 JDK 中将 System Property jdk.tls.useExtendedMasterSecret 设置为 false 来禁用此扩展的协商。