用于https（SSL）的Curl命令

Question

我正在尝试运行以下CURL命令，但遇到SSL证书错误：

curl https://example.com:8443/cli/agentCLI -u username:password

错误：

curl：（60）SSL证书问题，验证CA证书是否正常。详细信息：错误：14090086：SSL例程：SSL3_GET_SERVER_CERTIFICATE：证书验证失败更多详细信息：http://curl.haxx.se/docs/sslcerts.html

默认情况下，curl使用证书授权中心（CA）公钥（CA证书）的“捆绑包”执行SSL证书验证。默认捆绑包命名为curl-ca-bundle.crt；您可以使用--cacert选项指定备用文件。如果此HTTPS服务器使用捆绑包中表示的CA签名的证书，则证书验证可能由于证书问题而失败（可能已过期，或者名称可能与URL中的域名不匹配）。如果要关闭curl对证书的验证，请使用-k（或--insec）选项。

如何解决此问题以允许SSL URL？

Answer 1

如果您在服务器上使用自签名证书，则可以使用：

curl -k https://example.com:8443/cli/agentCLI -u username:password

但请注意，这并不比使用非SSL连接到服务器更好，因为您的通信将不再安全，从而导致各种中间人攻击。

尽管我的建议是下载。来自服务器的pem：

• 如果您可以访问服务器，则通常在/etc/ssl/中找到，
• 或者你可以下载

使用：

echo "HEAD / HTTP/1.0\n Host: example.com\n\n EOT\n" | openssl s_client -prexit -connect example.com:8443 > cert.pem

对于您的计算机，只保留文件中开始证书和结束证书之间的部分（包括开始/结束行），并将其作为参数提供给--cacert选项，您也可以下载它。然后，您可以在每次连接时对服务器进行身份验证！

curl --cacert cert.pem https://example.com:8443/cli/agentCLI -u username:password

在我自己的自签名服务器上进行测试，效果良好：

% openssl s_client -showcerts -connect example.com:443 </dev/null 2>/dev/null | sed -n '/-----BEGIN CERTIFICATE-----/,/-----END CERTIFICATE-----/p' | grep -m1 -B-1 -- '-----END CERTIFICATE-----'  > cert.pem
% curl --cacert cert.pem https://example.com

对于一个应该有效的示例：

% openssl s_client -showcerts -connect git.cryptolib.org:443 </dev/null 2>/dev/null | sed -n '/-----BEGIN CERTIFICATE-----/,/-----END CERTIFICATE-----/p' | grep -m1 -B-1 -- '-----END CERTIFICATE-----'  > cert.pem
% curl --cacert cert.pem https://git.cryptolib.org
curl: (51) SSL: certificate verification failed (result: 5)

但可悲的是，事实并非如此。

我也试着这样做，正如这里建议的：

% openssl x509 -inform PEM -in cert.pem -text -out certdata.pem
% curl --cacert certdata.pem https://git.cryptolib.org

这不起作用，因为我用于测试的站点（git.cryptolib.org）不是自签名的，但它来自CACert链，可以通过使用CACert根证书来解决这个问题，如下常见问题解答。

一些要挖掘的资源：

• http://curl.haxx.se/docs/sslcerts.html
• http://curl.haxx.se/mail/archive-2012-01/0049.html
• https://turboflash.wordpress.com/2009/06/23/curl-adding-installing-trusting-new-self-signed-certificate/
• http://curl.haxx.se/docs/caextract.html
• 通过SSL卷曲自签名证书Web服务

但到目前为止没有明确的答案：-s