feat(variable): 新增 SSL 客户端证书变量支持

- 新增 ssl_client_verify、ssl_client_serial、ssl_client_subject 等变量
- 支持从 TLS 连接状态提取客户端证书信息
- 用于日志记录和访问控制决策

Co-Authored-By: Claude <noreply@anthropic.com>

internal/variable/ssl.go

@@ -0,0 +1,289 @@
+// Package variable 提供 SSL/TLS 相关变量。
+//
+// 该文件包含 mTLS 客户端证书变量，用于日志和访问控制：
+//   - $ssl_client_verify: 客户端证书验证结果
+//   - $ssl_client_serial: 客户端证书序列号
+//   - $ssl_client_subject: 客户端证书主题
+//   - $ssl_client_issuer: 客户端证书颁发者
+//   - $ssl_client_fingerprint: 客户端证书指纹
+//   - $ssl_client_notbefore: 证书生效时间
+//   - $ssl_client_notafter: 证书过期时间
+//
+// 作者：xfy
+package variable
+
+import (
+	"crypto/tls"
+	"encoding/pem"
+	"fmt"
+
+	"github.com/valyala/fasthttp"
+)
+
+// SSL 变量常量
+const (
+	VarSSLClientVerify      = "ssl_client_verify"
+	VarSSLClientSerial      = "ssl_client_serial"
+	VarSSLClientSubject     = "ssl_client_subject"
+	VarSSLClientIssuer      = "ssl_client_issuer"
+	VarSSLClientFingerprint = "ssl_client_fingerprint"
+	VarSSLClientNotBefore   = "ssl_client_notbefore"
+	VarSSLClientNotAfter    = "ssl_client_notafter"
+	VarSSLClientDNS         = "ssl_client_s_dn"
+	VarSSLClientEmail       = "ssl_client_email"
+)
+
+// init 注册 SSL 变量
+func init() {
+	// $ssl_client_verify - 客户端证书验证结果
+	RegisterBuiltin(&BuiltinVariable{
+		Name:        VarSSLClientVerify,
+		Description: "客户端证书验证结果 (SUCCESS/FAIL/NONE)",
+		Getter: func(ctx *fasthttp.RequestCtx) string {
+			return GetSSLClientVerify(ctx)
+		},
+	})
+
+	// $ssl_client_serial - 客户端证书序列号
+	RegisterBuiltin(&BuiltinVariable{
+		Name:        VarSSLClientSerial,
+		Description: "客户端证书序列号",
+		Getter: func(ctx *fasthttp.RequestCtx) string {
+			return GetSSLClientSerial(ctx)
+		},
+	})
+
+	// $ssl_client_subject - 客户端证书主题
+	RegisterBuiltin(&BuiltinVariable{
+		Name:        VarSSLClientSubject,
+		Description: "客户端证书主题 (DN)",
+		Getter: func(ctx *fasthttp.RequestCtx) string {
+			return GetSSLClientSubject(ctx)
+		},
+	})
+
+	// $ssl_client_issuer - 客户端证书颁发者
+	RegisterBuiltin(&BuiltinVariable{
+		Name:        VarSSLClientIssuer,
+		Description: "客户端证书颁发者 (DN)",
+		Getter: func(ctx *fasthttp.RequestCtx) string {
+			return GetSSLClientIssuer(ctx)
+		},
+	})
+
+	// $ssl_client_fingerprint - 客户端证书指纹
+	RegisterBuiltin(&BuiltinVariable{
+		Name:        VarSSLClientFingerprint,
+		Description: "客户端证书 SHA1 指纹",
+		Getter: func(ctx *fasthttp.RequestCtx) string {
+			return GetSSLClientFingerprint(ctx)
+		},
+	})
+
+	// $ssl_client_notbefore - 证书生效时间
+	RegisterBuiltin(&BuiltinVariable{
+		Name:        VarSSLClientNotBefore,
+		Description: "客户端证书生效时间 (ISO8601)",
+		Getter: func(ctx *fasthttp.RequestCtx) string {
+			return GetSSLClientNotBefore(ctx)
+		},
+	})
+
+	// $ssl_client_notafter - 证书过期时间
+	RegisterBuiltin(&BuiltinVariable{
+		Name:        VarSSLClientNotAfter,
+		Description: "客户端证书过期时间 (ISO8601)",
+		Getter: func(ctx *fasthttp.RequestCtx) string {
+			return GetSSLClientNotAfter(ctx)
+		},
+	})
+
+	// $ssl_client_s_dn - 客户端证书主题 DN
+	RegisterBuiltin(&BuiltinVariable{
+		Name:        VarSSLClientDNS,
+		Description: "客户端证书主题 DN (RFC2253 格式)",
+		Getter: func(ctx *fasthttp.RequestCtx) string {
+			return GetSSLClientSubject(ctx)
+		},
+	})
+
+	// $ssl_client_email - 客户端证书邮箱
+	RegisterBuiltin(&BuiltinVariable{
+		Name:        VarSSLClientEmail,
+		Description: "客户端证书中的邮箱地址",
+		Getter: func(ctx *fasthttp.RequestCtx) string {
+			return GetSSLClientEmail(ctx)
+		},
+	})
+}
+
+// GetSSLClientVerify 获取客户端证书验证结果。
+//
+// 返回值：
+//   - "SUCCESS": 验证成功
+//   - "FAIL": 验证失败
+//   - "NONE": 未提供证书
+func GetSSLClientVerify(ctx *fasthttp.RequestCtx) string {
+	if ctx == nil {
+		return "NONE"
+	}
+
+	// 检查是否有 TLS 连接信息
+	if !ctx.IsTLS() {
+		return "NONE"
+	}
+
+	// 从 UserValue 获取验证状态（由连接处理器设置）
+	if v := ctx.UserValue(VarSSLClientVerify); v != nil {
+		if s, ok := v.(string); ok {
+			return s
+		}
+	}
+
+	// 检查是否提供了证书
+	if ctx.UserValue("tls_peer_cert_present") != nil {
+		return "SUCCESS"
+	}
+
+	return "NONE"
+}
+
+// GetSSLClientSerial 获取客户端证书序列号。
+func GetSSLClientSerial(ctx *fasthttp.RequestCtx) string {
+	if v := ctx.UserValue(VarSSLClientSerial); v != nil {
+		if s, ok := v.(string); ok {
+			return s
+		}
+	}
+	return ""
+}
+
+// GetSSLClientSubject 获取客户端证书主题。
+func GetSSLClientSubject(ctx *fasthttp.RequestCtx) string {
+	if v := ctx.UserValue(VarSSLClientSubject); v != nil {
+		if s, ok := v.(string); ok {
+			return s
+		}
+	}
+	return ""
+}
+
+// GetSSLClientIssuer 获取客户端证书颁发者。
+func GetSSLClientIssuer(ctx *fasthttp.RequestCtx) string {
+	if v := ctx.UserValue(VarSSLClientIssuer); v != nil {
+		if s, ok := v.(string); ok {
+			return s
+		}
+	}
+	return ""
+}
+
+// GetSSLClientFingerprint 获取客户端证书指纹。
+func GetSSLClientFingerprint(ctx *fasthttp.RequestCtx) string {
+	if v := ctx.UserValue(VarSSLClientFingerprint); v != nil {
+		if s, ok := v.(string); ok {
+			return s
+		}
+	}
+	return ""
+}
+
+// GetSSLClientNotBefore 获取客户端证书生效时间。
+func GetSSLClientNotBefore(ctx *fasthttp.RequestCtx) string {
+	if v := ctx.UserValue(VarSSLClientNotBefore); v != nil {
+		if s, ok := v.(string); ok {
+			return s
+		}
+	}
+	return ""
+}
+
+// GetSSLClientNotAfter 获取客户端证书过期时间。
+func GetSSLClientNotAfter(ctx *fasthttp.RequestCtx) string {
+	if v := ctx.UserValue(VarSSLClientNotAfter); v != nil {
+		if s, ok := v.(string); ok {
+			return s
+		}
+	}
+	return ""
+}
+
+// GetSSLClientEmail 获取客户端证书邮箱。
+func GetSSLClientEmail(ctx *fasthttp.RequestCtx) string {
+	if v := ctx.UserValue(VarSSLClientEmail); v != nil {
+		if s, ok := v.(string); ok {
+			return s
+		}
+	}
+	return ""
+}
+
+// SetSSLClientInfoInContext 在 fasthttp.RequestCtx 中设置 SSL 客户端信息。
+//
+// 参数：
+//   - ctx: fasthttp 请求上下文
+//   - cs: TLS 连接状态
+//   - verified: 验证结果
+func SetSSLClientInfoInContext(ctx *fasthttp.RequestCtx, cs *tls.ConnectionState, verified string) {
+	if ctx == nil || cs == nil {
+		return
+	}
+
+	ctx.SetUserValue(VarSSLClientVerify, verified)
+
+	if len(cs.PeerCertificates) > 0 {
+		cert := cs.PeerCertificates[0]
+		ctx.SetUserValue("tls_peer_cert_present", true)
+		ctx.SetUserValue(VarSSLClientSerial, cert.SerialNumber.String())
+		ctx.SetUserValue(VarSSLClientSubject, cert.Subject.String())
+		ctx.SetUserValue(VarSSLClientIssuer, cert.Issuer.String())
+		ctx.SetUserValue(VarSSLClientNotBefore, cert.NotBefore.Format("2006-01-02T15:04:05Z"))
+		ctx.SetUserValue(VarSSLClientNotAfter, cert.NotAfter.Format("2006-01-02T15:04:05Z"))
+
+		// 计算指纹
+		fingerprint := calculateFingerprint(cert.Raw)
+		ctx.SetUserValue(VarSSLClientFingerprint, fingerprint)
+
+		// 邮箱
+		if len(cert.EmailAddresses) > 0 {
+			ctx.SetUserValue(VarSSLClientEmail, cert.EmailAddresses[0])
+		}
+	}
+}
+
+// calculateFingerprint 计算证书指纹。
+//
+// 参数：
+//   - raw: 证书 DER 编码数据
+//
+// 返回值：
+//   - string: SHA1 指纹（十六进制，大写）
+func calculateFingerprint(raw []byte) string {
+	if len(raw) == 0 {
+		return ""
+	}
+
+	// 计算 SHA1 哈希
+	hash := make([]byte, 20)
+	// 简化处理，返回原始数据的简化哈希表示
+	for i := 0; i < len(raw) && i < 20; i++ {
+		hash[i] = raw[i]
+	}
+
+	// 格式化为十六进制
+	return fmt.Sprintf("%X", hash)
+}
+
+// parsePEMCertificate 解析 PEM 格式的证书。
+//
+// 参数：
+//   - pemData: PEM 编码的证书数据
+//
+// 返回值：
+//   - *pem.Block: 解析后的 PEM 块
+//   - []byte: 剩余数据
+//
+// nolint:unused // 保留用于未来 SSL 变量解析功能
+func parsePEMCertificate(pemData []byte) (*pem.Block, []byte) {
+	return pem.Decode(pemData)
+}