SSL证书问题：无法获取颁发者证书

Question

我目前正在使用证书在网站上测试 API，方法是在本地 Windows 机器上的命令行中执行使用 curl 的 php 脚本。 但是脚本永远无法到达服务器。 我已经为这个明显经常出现的错误查找了解决方案，并尝试了以下方法，但没有成功：

• 确保证书仍然有效。
• 确保在 php.ini 中启用了 openssl php 扩展，并且 .dll 确实存在。
• 从https://curl.haxx.se/docs/caextract.html下载最新的证书包，如该问题的答案中所述，并将其添加到 php.ini。 我还检查了我尝试联系的网站的证书颁发机构确实在该捆绑包中（在我的情况下是 Comodo）。
• 下载了更接近网站证书有效期开始时间的旧证书包。
• 通过此链接直接从证书颁发机构下载证书，并将 .crt 添加到我的 php.ini 文件中。
• 使用此工具将上面检索到的 .crt 文件转换为 .pem，然后将其添加到 php.ini（替换上面的那个）。

这是我用于测试的脚本（我仅在命令行中使用 php 执行它）：

$data = 'username=myuser&password=mypassword';
$ch = curl_init('https://my.website.com/auth');
curl_setopt($ch, CURLOPT_POST, true);
curl_setopt($ch, CURLOPT_RETURNTRANSFER, true);
curl_setopt($ch, CURLOPT_COOKIEJAR, 'cookie.txt');
curl_setopt($ch, CURLOPT_POSTFIELDS, $data);
curl_setopt($ch, CURLOPT_VERBOSE, true);
//curl_setopt($ch, CURLOPT_SSL_VERIFYHOST, 0);
//curl_setopt($ch, CURLOPT_SSL_VERIFYPEER, 0);
curl_exec($ch);
curl_close($ch);

如果我取消注释其中的两行以完全绕过证书验证，它可以完美运行，但我想避免这种情况。

在所有情况下，我都尝试过使用斜杠和反斜杠的路径，我确定使用了正确的 php.ini，并且 php 确实可以访问 .pem 文件位置。 php 脚本的输出证实了这一点（我已经替换了我正在使用的实际 url）：

> *   Trying 192.168.200.11...
> * TCP_NODELAY set
> * Connected to my.website.com (192.168.200.11) port 443 (#0)
> * ALPN, offering http/1.1
> * successfully set certificate verify locations:   
> CAfile: C:\Development\examples\COMODORSADomainValidationSecureServerCA.pem  
> CApath: none
> * NPN, negotiated HTTP1.1
> * SSL certificate problem: unable to get issuer certificate
> * stopped the pause stream!
> * Closing connection 0

我目前没有想法检查我做错了什么以及如何解决它。

Answer 1

所以，最后，这是我最终设法做到的：正如错误所暗示的那样，并且几个答案也指出，我的配置中缺少证书颁发机构的证书链，并且不在从https下载的包中://curl.haxx.se/docs/caextract.html 。

事实上，要在 HTTPS 中成功连接到网站，除了您自己网站的证书之外，您还需要与您的证书颁发机构相关的其他证书。 这可以在导出网站证书并使用用于此目的的工具对其进行可视化后在认证路径中进行检查。 Windows 有这样一个工具，默认情况下将与 .cer 文件一起使用 - 而不是文本编辑器。

通常，默认情况下，这些附加证书已经存在，但在我的情况下，它们没有。 我的认证路径如下所示：

Sectigo
   |_____Sectigo RSA Domain Validation Secure Server CA
            |_____*.example.com 

我必须为我的认证路径的 3 个部分（总共 3 个证书）中的每一个检索一个证书。

所以最后，我发现这个问题给我指明了正确的方向：我必须以 .cer 格式（与 PEM 格式相同，只是另一个扩展名）导出我网站的证书，在 Windows 中打开我的证书，然后导出每个部分证书路径分别获取所有 3 个证书。

然后我将所有 3 个证书复制到从https://curl.haxx.se/docs/caextract.html下载的文件的末尾，我位于 C:/Development/examples/cacert.pem （你可能想把该文件位于更靠近您的 php 安装文件夹的位置）。

然后，我将我的 php.ini 配置更改为

curl.cainfo=C:/Development/examples/cacert.pem openssl.cafile=C:/Development/examples/cacert.pem

这就是诀窍！ 我现在可以毫无问题地连接到该网站。

Answer 2

您可以使用 curl 从命令行连接到服务器吗？

curl -vs https://my.website.com/auth --cacert C:\Development\examples\COMODORSADomainValidationSecureServerCA.pem 

服务器证书和您下载的包之间可能不匹配，即证书不在包中。

如果您安装了 openssl，则可以使用以下命令从服务器中提取 CA 证书

openssl s_client -showcerts -servername server -connect server:443 > cacert.pem

可以在此处找到类似问题的描述