libcurl 证书固定的默认行为

Question

我们正在使用 libcurl (7.51.0) 向服务器发送请求。我们有一个 .pem 文件，其中有一组通过 CURLOPT_CAINFO 选项设置的 CA 证书。

curl_easy_setopt(mpCURL, CURLOPT_CAINFO,  "/usr/certs/certificates.pem");

现在，我想弄清楚 .pem 中存在的 CA 证书是否已固定。我如何做到这一点？

此外，根据问题Public key pinning in curl does not work without using certificates from the system 中的答案，似乎只要将 CURLOPT_SSL_VERIFYPEER 和 CURLOPT_SSL_VERIFYHOST 选项保留为默认值并通过 CURLOPT_CAINFO 提供一组 CA 证书，cURL 库默认实现 CA 证书固定.那是对的吗？这是否意味着 libcurl 会固定 .pem 文件中存在的所有证书？

Answer 1

我确认 CURLOPT_SSL_VERIFYPEER 的默认值默认启用 CA 固定。因此，它使用 CAPATH 中提到的证书进行 CA 固定。