Vision 协议 偶发bug 导致TLS IN TLS 特征

[nasaboy]

这个有讨论吗？貌似没有看到什么消息

之前在实现 Egern 的 VLESS VISION 协议时遇到了一个偶发的 bug，这个 bug 折腾了我好久，最后通过 Wireshark 结合 TLS key log 逐包分析后才发现。
当 Vision 协议从 TLS in TLS 去掉外层 TLS 时，偶尔会出现 TLS 记录边界截断的情况。一部分 TLS 记录残留在 TLS in TLS 层，另一部分则直接落入 TCP 流中，但由于缺失上下文而被解析为无效 TLS 记录，导致出现了明显的 TLS in TLS 特征。

这个问题本身是 XTLS/Xray-core 的服务端实现有问题，为了避免 TLS in TLS 特征直接引入了更严重的 TLS in TLS 特征。Vision 客户端不止 Egern 实现了，难道其他同行没发现吗？

[RPRX]

#4878 可能是切换至 Splice 时出的问题，Vision 的代码我还没看我也不清楚

[RPRX]

不过如果是因为 pipe 机制，近期的版本 VLESS 入站改了，可能已经没有该问题了，问一下他测试用的是哪个版本

[nasaboy]

翻了下群聊，有人反馈这个bug是9月11日，反馈的这个人是用脚本搭的，应该是25.9.11之前的稳定版吧，猜测可能是25.9.5，问到了确定的再更新

[yuhan6665]

可能是因为 vision 目前的写法没计算内层 application data 长度 能不能找这个作者开个issue 之前一直没有稳定复现的办法

[egerndaddy]

我是 Egern 的作者，看了下当时使用的是 Xray 25.9.11。之前在测试 Egern 的 Vision 实现时，发现 YouTube 请求的 yt3.ggpht.com 这个域名偶尔会失败，原因是收到了无效的 TLS 记录。

通过 Wireshark 抓包分析后发现，Vision 在自身 TLS 握手完成后，将 YouTube 客户端的 Client Hello 转发给 YouTube 服务器，此时 Vision 从服务器读取 TLS 记录，发现是 TLS 1.3 记录后准备去除外层 TLS 封装，可是 Vision 没有考虑 TLS 记录是否完整，就把部分 TLS 记录通过 Vision 层发送给客户端，然后剩余的 TLS 记录留在了 TCP 层。

为了避免出现这种 TLS in TLS 的特征，建议 Vision 在去除外层 TLS 前应确保读取完整的 TLS 记录。

[yuhan6665]

感谢您的反馈 能否试一下
#5179
https://github.com/XTLS/Xray-core/actions/runs/17964805157
看有没有解决这个问题