cURL:CURLOPT_CAPATH包含正确的证书，但不起作用

Question

以下脚本适用于PHP5.6。23：

$options = [
    CURLOPT_POST => 1,
    CURLOPT_URL => 'https://uat.dwolla.com/oauth/rest/offsitegateway/checkouts',
    CURLOPT_RETURNTRANSFER => 1,
    CURLOPT_POSTFIELDS => json_encode(['name'=>'value']),
    CURLOPT_HTTPHEADER => ['Content-Type: application/json'],
    CURLOPT_SSL_VERIFYPEER => true,
    CURLOPT_CAINFO => '/path/to/certs/GoDaddyRootCertificateAuthority-G2.crt',
];
$ch = curl_init();

curl_setopt_array($ch, $options);
if( ! $result = curl_exec($ch)) $err = curl_error($ch);
else $err = null;

curl_close($ch);

if($err) echo $err;
else print_r(json_decode($result,true));

我从Dwolla的支付API得到了预期的响应。为了使脚本更具动态性，我尝试将其更改为引用托管我希望信任的证书的目录。因此，我将最后一个选项（CURLOPT_CAINFO）更改为：

CURLOPT_CAPATH => '/path/to/certs'

但是，这会中断脚本，并且不会建立连接；错误是：

SSL证书问题：无法获取本地颁发者证书

我知道目录是正确的，证书文件是有效的，因为原始脚本引用了同一目录中的证书。我希望cURL扫描目录中的文件并找到它需要的证书，但这没有发生。为什么会这样？

Answer 1

如果您只是将CApath指向某个目录并将证书放入该目录，则无法正常工作。为了有效地查找正确的CA证书，此目录中的文件需要具有从证书主题派生的名称。例如，您可以在/etc/ssl/certs中找到以下内容：

   ff783690.0 -> UTN_USERFirst_Hardware_Root_CA.pem
   ff588423.0 -> ComSign_CA.pem
   ...

这里的文件名基于证书主题的哈希值，并指向真正的证书。有关如何创建必要文件名的信息，请参阅如何计算CA文件名使用的哈希值。

另请参见openssl验证的手册页：

-CApath目录
受信任证书的目录。证书的名称应为：hash。0或具有此形式的符号链接（“哈希”是经过哈希处理的证书使用者名称：请参阅x509实用程序的-hash选项）。在Unix下，c_rehash脚本将自动创建指向证书目录的符号链接。