OpenSSL::SSL::SSLError在Heroku[复制]

Question

我试图通过Facebook或Twitter验证用户，让他们填写信息，然后单击保存（从而创建用户记录）。我得到一个OpenSSL错误的最后一步-点击保存后。这发生在设计注册控制器#创建方法中。

因此，我在Heroku上托管的Rails应用程序中遇到了这个错误：

2012-07-28T18:25:13+00:00 app[web.1]: OpenSSL::SSL::SSLError (SSL_connect returned=1 errno=0 state=SSLv3 read server certificate B: certificate verify failed)

我见过很多解决方案，但都不奏效。以下是我尝试过的一些事情：

1）安装认证的gem

2）升级Heroku宝石v2.30，再推

3）这：

Rails.application.config.middleware.use OmniAuth::Builder do
  provider :twitter, TWITTER_KEY, TWITTER_SECRET, {:client_options => {:ssl => {:ca_file => "/usr/lib/ssl/certs/ca-certificates.crt"}}}
  provider :facebook, FACEBOOK_KEY, FACEBOOK_SECRET, {:scope => "publish_actions,user_location,email", :client_options => {:ssl => {:ca_file => "/usr/lib/ssl/certs/ca-certificates.crt"}}}
end

看起来一个问题可能是这个证书文件实际上并不存在——我在好几个地方见过它，这似乎是Heroku的ca_证书文件的默认路径，但我可能错了。

奇怪的是，这是在我已经通过FB/Twitter进行身份验证，并试图创建用户帐户后发生的。为什么会出现这种情况，我如何解决/调试这种情况？真的很困惑。

更新：我将这一行添加到Omniauth初始值设定项中，现在它“起作用了”。因此，我诊断出问题出在Omniauth上。但是，我希望仍然有SSL验证。。。这显然留下了安全漏洞。

OpenSSL:：SSL:：VERIFY\u PEER=OpenSSL:：SSL:：VERIFY\u NONE

Answer 1

听起来您在OmniAuth中获得了正确的openssl配置，但可能您的CA证书路径不正确？

您可以通过运行在heroku服务器上检查：

heroku run bash

... 然后运行openssl以显示正确的路径：

$ openssl version -a
OpenSSL 1.0.0e 6 Sep 2011
OPENSSLDIR: "/usr/lib/ssl"

...您应该可以在$OPENSSLDIR/certs/ca-certificates.crt找到ca_certificates.crt文件

我将确认路径是否与您的代码相匹配。

Answer 2

经过一番搜索，我发现：

如果您使用Ruby通过https（例如Facebook Graph API）打开与外部服务器的连接，则可能会遇到以下错误：

OpenSSL::SSL::SSLError:SSL_connectreturned=1errno=0state=SSLv3readservercertificateB:certificateverifyfailed

此错误是由于Ruby无法找到用于验证安全Web服务器真实性的认证机构证书（CA Certs）。解决方案是将此ca-bundle.crt下载到应用程序的lib//code>目录中：然后将以下代码添加到config/初始化器/fix_ssl.rb：

require 'open-uri'
require 'net/https'

module Net
  class HTTP
    alias_method :original_use_ssl=, :use_ssl=

    def use_ssl=(flag)
      self.ca_file = Rails.root.join('lib/ca-bundle.crt').to_s
      self.verify_mode = OpenSSL::SSL::VERIFY_PEER
      self.original_use_ssl = flag
    end
  end
end

这将迫使ruby使用应用程序lib/目录中的CA包。

取自：http://jimneath.org/2011/10/19/ruby-ssl-certificate-verify-failed.html

更新：

您可能需要使用self。ca_path=而不是self。ca_file=取决于您的系统。