PHP CURL 和 SSL 证书（或证书链）

Question

美好的一天！

我有可通过 SSL (https://) 访问的 REST API。我想将正确的证书（或证书链）连同我编写的 PHP 和 CURL 脚本一起提出请求。

以下是来自我的目标 (http://api.vkontakte.ru) 的证书在 Firefox 中的样子：

http://speedcap.net/img/bc687485819715c65d6fe1e4ca1fdc40/1a2be.png

这是来自 Firefox 保存的“PEM 格式的证书链 X.509”的 sn-p （此处描述：http://unitstep.net/blog/2009/05/05/using-curl-in-php-to-access-https-ssltls-protected-sites/）：

-----BEGIN CERTIFICATE-----
MIIFVzCCBD+gAwIBAgIHKx5Ov2FOejANBgkqhkiG9w0BAQUFADCByjELMAkGA1UE
[..skip...]
0npsf5fkvT8E13NgVY0PK6V/baMTlTgWXKQZ
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
MIIE3jCCA8agAwIBAgICAwEwDQYJKoZIhvcNAQEFBQAwYzELMAkGA1UEBhMCVVMx
[..skip...]
qDTMBqLdElrRhjZkAzVvb3du6/KFUJheqwNTrZEjYx8WnM25sgVjOuH0aBsXBTWV
U+4=
-----END CERTIFICATE-----

这是 CURL 初始化的代码示例：

$this->ch = curl_init();
    curl_setopt_array($this->ch, array(

        CURLOPT_TIMEOUT => 30,
        CURLOPT_RETURNTRANSFER => TRUE,
        CURLOPT_AUTOREFERER => TRUE,
        CURLOPT_FOLLOWLOCATION => TRUE,

        CURLOPT_SSL_VERIFYPEER => TRUE,
        CURLOPT_SSL_VERIFYHOST => 2,
        CURLOPT_CAINFO => <path to my cert>,        
    )); 

我收到 CURL 错误 60 (CURLE_SSL_CACERT) 抱怨证书错误。

我尝试过的：

• 我已验证使用了我的证书文件，因为当我指定错误的路径时，它会抱怨找不到证书（错误 70）

• 我已使用 Facebook SDK 及其证书链检查我的 CURL 是否适用于此类设置

• 我尝试导出不同的链（包括或不包括）链中的最后一个证书

• 试过CURLOPT_SSL_VERIFYHOST => 1。

欢迎任何想法！

Answer 1

这些是似乎可行的步骤：

1. 在firefox中访问https url
2. 点击绿色栏，点击箭头，然后点击“更多信息”
3. 点击“查看证书”，然后点击顶部的“详细信息”标签

4. 然后点击每个级别并导出每个证书：

   根 CA

   服务器 CA 和

   example-website.invalid。

   您应该将所有三个文件都保存到您的计算机上。将所有三个文件复制到一个文件中，例如custom_name_cert.pem

将该 pem 文件复制到 PHP 可访问的目录中，理想情况下该文件的权限为 644。您甚至可以选择 444 以防止篡改，并在需要更新时将其更改为 644。

然后更新你代码中的路径，例如：

CURLOPT_CAINFO => '/var/www/certs/custom_name_cert.pem'

警告：当网站更新其 SSL 证书时，上述文件可能会过期，并且 HTTPS cURL 调用可能会失败，从而破坏您的应用程序。希望有人会在这里回答一个自动更新此文件的好方法。

Answer 2

几年前，Vkontakte 从 vkontakte.ru 域转移到了 vk.com。他们也改变了他们的 api 处理程序 url。 这是我的解决方案：

1. 在 Firefox 中打开 https://vk.com/
2. 将此站点的证书链导出为 X.509
3. 将目标网址从http://api.vkontakte.ru 更改为https://api.vk.com/

这是我的带有 curl 选项的代码：

curl_setopt($ch, CURLOPT_SSL_VERIFYPEER, true);
curl_setopt($ch, CURLOPT_SSL_VERIFYHOST, 2);
curl_setopt($ch, CURLOPT_CAINFO, getcwd() ."/ffchainvk.crt"); //  ok

ffchainvk.crt 是导出证书链的文件。

Answer 3

Curl 在服务器上的不同位置使用 CA 证书，而不是在系统的其余部分（如桌面）中使用。我之前必须将 CA 证书安装到文件系统中。 PHP libcurl 也将使用命令行实用程序使用的库。请参阅http://curl.haxx.se/docs/sslcerts.html。