如何使用 cacert 文件在 Powershell (Invoke-WebRequest) 中执行 cUrl 等效项？

Question

基本上我想将命令 curl 翻译为与当前在 linux 服务器中的参数相同，但在 Powershell 中，以便上传文件：

curl -v -T $file -u user:password http://myurl --cacert /opt/keystores/ca_cert.pem

我找到了执行此任务的等效命令：PowerShell 3.0+ 的“Invoke-WebRequest”，但问题是我不知道如何使用 CA 证书文件 (.pem) 调用它，而且我没有'在 Internet 上没有找到任何样本。

谢谢！

Answer 1

当您在 .NET 中建立 TLS 连接时，对等证书将根据 RemoteCertificateValidationCallback function 进行验证，由相关 AppDomain 的 ServicePointManager 管理。

大多数关于如何在 PowerShell 中覆盖默认验证的示例都会告诉您这样做：

[System.Net.ServicePointManager]::ServerCertificateValidationCallback = {$true}

不要这样做！ - 它会完全绕过验证。

您可以做的是实现一个适当的回调函数并手动调用链验证。在执行此操作之前，您可以将不在机器或用户证书存储中的证书添加到您可以验证的链列表中：

$callback = {
    param(
        $sender,
        [System.Security.Cryptography.X509Certificates.X509Certificate]$certificate,
        [System.Security.Cryptography.X509Certificates.X509Chain]$chain,
        [System.Net.Security.SslPolicyErrors]$sslPolicyErrors
    )

    # No need to retype this long type name
    $CertificateType = [System.Security.Cryptography.X509Certificates.X509Certificate2]

    # Read the CA cert from file
    $CACert = $CertificateType::CreateFromCertFile("C:\path\to\ca.crt") -as $CertificateType

    # Add the CA cert from the file to the ExtraStore on the Chain object
    $null = $chain.ChainPolicy.ExtraStore.Add($CACert)

    # return the result of chain validation
    return $chain.Build($certificate)
}

# Assign your delegate to the ServicePointManager callback
[System.Net.ServicePointManager]::ServerCertificateValidationCallback = $callback

# Do your Invoke-WebRequest or WebClient call here

我不知道如何从 PEM 文件中读取多个证书到证书集合中，所以你必须一个一个地添加每个 ca 证书，对不起

Answer 2

您正在寻找Invoke-RestMethod。

它有一个 Get-PfxCertificate 参数，它从文件中获取 PFX 证书。您可以通过检查此link

从 pem 转换为 PFX 文件

所以你的代码看起来像这样：

$cert = Get-PfxCertificate -FilePath c:\path\to\cert.pfx

$userPassB64 = [System.Convert]::ToBase64String([System.Text.ASCIIEncoding]::ASCII.GetBytes("username:password")

Invoke-WebRequest -Uri http://myurl -Method Post -Header @{Authentication "Basic " + $userPassB64} -InFile 'c:\path\to\uploadfile.txt'

更新

正如 Mathias 指出的，命令中的证书选项是针对客户端证书的。 --cacert 选项的要点是在证书不在 curl 使用的默认证书包中时提供对等验证。有关此选项解决什么问题的相关问题，请参阅 here。

我建议按原样尝试该命令，以根据机器上安装的 CA 来查看 SSL 协商是否成功。 如果 SSL 协商失败，那么您可以尝试从目标站点下载证书文件并将其安装在本地证书存储中。执行此操作的步骤已在here 中列出。