如何使用 php curl 进行双向/双向身份验证？

Question

网站提示“您未使用数字证书进行身份验证，或者连接时间已过期。请使用您的数字证书再次进行身份验证。”。

我每次都收到此消息，因此我认为我的身份验证尝试没有工作，而不是连接时间到期。

我这样做的方式是从一个 pfx 文件和一个打开它的密码开始。我使用 openssl 和 pfx 制作 pem 证书。

代码：

<?php
$pfx_path = 'me.pfx';
$pfx_pass = 'foopass123';
$pfx_values = [];
openssl_pkcs12_read(file_get_contents($pfx_path), $pfx_values, $pfx_pass);
$cert_path = 'me.pem';
file_put_contents($cert_path, $pfx_values['cert'] . "\n" . $pfx_values['pkey']);
$postfields = 'field1=val1&field2=val2&field3=val3';
$ch = curl_init();
curl_setopt($ch, CURLOPT_URL           , 'https://www.example.com');
curl_setopt($ch, CURLOPT_POST          , true);
curl_setopt($ch, CURLOPT_RETURNTRANSFER, true);
curl_setopt($ch, CURLOPT_POSTFIELDS    , $postfields);
curl_setopt($ch, CURLOPT_SSLCERT       , $cert_path);
curl_setopt($ch, CURLOPT_VERBOSE, 1);
$curl_result = curl_exec($ch);
$curl_info = curl_getinfo($ch);
curl_close($ch);

执行代码的结果（仅显示 $curl_result 的 HTML 引用）：

您没有使用数字证书进行身份验证，或者可能是 连接时间已过。用数字证书再次认证。

顺便说一句，$curl_info['ssl_verify_result'] 是 0，我猜这意味着至少服务器经过了正确的身份验证。

编辑：删除了CURLOPT_SSLCERTPASSWD，因为它不是必需的，pfx 文件已经用密码打开了，并且它的私钥和公钥被赤裸裸地放入$cert_path。

Answer 1

在该特定站点上成功进行身份验证需要标头。缺少的标头是 Cookie: ...，其中包含特定字段，例如会话 ID（您可以通过使用 cURL 登录网站或简单地通过浏览器以用户身份获取，您可以复制并粘贴由服务器）。

您可以指定 Cookie 标头：

curl_setopt($ch, CURLOPT_COOKIE,
    'foo=123;'
    . ' bar=456;'
    . ' SESSIONID=789;'
);

或者你可以指定它：

curl_setopt($ch, CURLOPT_HTTPHEADER, array(
    'Cookie: foo=123;'
    . ' bar=456;'
    . ' SESSIONID=789;'
));

要以一般的方式看待这一点，而不是将问题视为仅限于特定站点的问题，请注意不同的站点将需要不同的标头和 cookie，也可能不需要。

因此，如果您想像用户一样在给定站点中进行相互身份验证，请确保您使用正确的标头和 cookie，以备不时之需。

现在，如何使用 cURL 获取会话 ID，这取决于每个站点，这超出了问题的范围，但一般来说，它是用 PHP 模仿用户在浏览器中执行的相同操作的问题，并且它可能是在站点内的特定 URL 中完成的，而不是所有站点广泛的。