PayPal cURL選項（CURLOPT_SSL_VERIFYPEER和CURLOPT_SSL_VERIFYHOST）問題

Question

我從PayPal網站獲得了一段代碼：

// turning off the server and peer verification(TrustManager Concept).
// really paypal??? why not just include a recent cert???
curl_setopt($ch, CURLOPT_SSL_VERIFYPEER, FALSE);
curl_setopt($ch, CURLOPT_SSL_VERIFYHOST, FALSE);

正如你在我的評論中所看到的，我想知道為什么在地球上貝寶會禁用這些選項。

我知道（從以前的頭痛:)）在Windows上，cURL使用過時的證書文件。

但是我的服務器上有一個更新的certs文件，我可以使用它：

curl_setopt($ch, CURLOPT_CAINFO, 'E:\path\to\curl-ca-bundle.crt');

那么為什么PayPal會“推薦”禁用它，如果只需要使用另一個（更新的）證書文件。

那不是更安全嗎？

或者我錯過了一些東西（我很確定PayPal有足夠的錢購買有效證書：p）？

Answer 1

是的，確保客戶端使用更新的CA證書捆綁包會更安全。 （這個問題是關於，他們已經有了證書。）

Answer 2

一個原因可能是它可以防止支持頭痛，人們在1美元/年的共享主機盒上運行腳本，遇到問題等。
最佳實踐？ 沒有。但是除了ctrl + c ctrl + v之外有更多知識的人將能夠正確設置它。

編輯：我們當前的示例代碼強制VERIFYPEER和VERIFYHOST。 如果遇到任何SSL握手錯誤，請記住這一點，因為您可能需要指向根證書文件副本。