OpenSSL 4.1 正式版发布，新增对 DTLS 1.3 的支持

OpenSSL 4.1 正式版现已发布。我们感谢所有为 OpenSSL 4.1 发布做出贡献的人，没有他们，OpenSSL 库就无法实现。

此版本包含以下可能重大或不兼容的变更：

新增 VC-WIN32-MSVC2013 和 VC-WIN64A-MSVC2013 构建目标，以提供内部函数来弥补 MSVC 2013 中 C99 标准支持的缺口。

在 ppc64le 上新增优化的 ML-DSA 和 ML-KEM NTT 操作；在 x86_64 上新增优化的 ML-DSA 操作；在 x86_64 上为 ML-DSA 新增 AVX-512 优化的 SHAKE x4 操作；在 x86_64 上为 AES-CBC 解密新增 AVX-512 和 VAES 优化。

将 tsget 工具改为使用 Net::Curl::Easy（来自 Net-Curl CPAN 发行版），替代已废弃的 WWW::Curl::Easy。依赖 tsget 的用户应在升级前安装 Net::Curl::Easy。

从 Configurations 中移除 Windows-on-Itanium (VC-WIN64I) 和 Windows CE (VC-CE) 目标。

从 Configure 中移除 no-ecdsa 和 no-ecdh 选项，因为这些选项实际上并未禁用相关实现。请使用 no-ec 来禁用椭圆曲线支持。

此版本新增以下新功能：

支持 DTLS 1.3（RFC 9147）。详情请参阅 ossl-guide-dtlsv13(7) 手册页。

支持 RFC 8701 GREASE（Generate Random Extensions And Sustain Extensibility）。

初步支持 Elbrus2000 (e2k) 架构。

#32878：当收到 DTLS 1.3 KeyUpdate 时，所有其他未完成的后握手记录会从重传缓冲区中丢弃。这意味着仍在等待 ACK 的后握手记录（例如 NewSessionTicket）在原始传输丢失后将不再重传。修复工作正在进行中，计划在未来的版本中发布。

#33277：DTLS 监听器上的永久接收失败可能在已接受的连接上被报告为 SSL_ERROR_WANT_READ。轮询和后续的 accept 调用也可能无法报告该错误，导致应用程序在永久性失败后继续等待。

#33278：从 DTLS 监听器接受的不可阻塞连接上，可重试的写失败可能被报告为 SSL_ERROR_SYSCALL 而非 SSL_ERROR_WANT_WRITE。将此结果视为致命错误的应用程序可能会关闭仍然可用的连接。

#33242：当客户端在发送响应之前确认了服务器第一个飞行报文的全部或部分时，DTLS 1.3 服务器可能会以 unexpected_message 警报中止握手。这可能发生在丢包之后或客户端正在准备其认证响应时。

请参阅发行版中的 CHANGES.md 文件，查看自 OpenSSL 4.0 以来的完整变更列表，以及不兼容或可能重大的变更。

您可以从我们的下载页面或 GitHub releases 页面下载此版本。

OpenSSL 4.1 不是长期稳定（LTS）版本。根据 OpenSSL 的 LTS 政策，4.1 将支持至 2027 年 11 月 23 日。鼓励需要在标准时间线之外继续获得支持的组织联系 OpenSSL Corporation 了解高级支持选项。