Golang HTTP x509:由未知授权机构签名的证书错误

Question

我正在使用Golang 1.9创建一个客户端应用程序。2，我在访问后端时遇到一些问题。问题是我的应用程序在最新版本的Windows和Linux中运行良好，但是，当我在Windows XP上运行它时（是的，不幸的是，我必须支持Windows XP，因为我们的一些客户拒绝升级他们的操作系统），我在尝试执行HTTP get和HTTP POST:x509:由未知授权机构签名的证书时出现此错误。

我在WindowsXP中使用FirefoxESR浏览器和Chromium浏览器运行了相同的GET命令，他们都没有抱怨证书。

请注意，我的证书是有效的，并由可信的权威机构签名。

我做了一些研究，发现有些人也有同样的问题，通过忽略TLS验证解决了这个问题：

import ("net/http"; "crypto/tls")

tr := &http.Transport{
    TLSClientConfig: &tls.Config{InsecureSkipVerify : true},
}
client := &http.Client{Transport: tr}
resp, err := client.Get("https://someurl:443/)

因此，我将其添加到我的代码中，但它仍然不起作用：

// NewAPIClient - creates a new API client
func NewAPIClient() Client {
    c := &APIClient{}

    tr := &http.Transport{
        TLSClientConfig: &tls.Config{InsecureSkyVerify: true},
    }
    c.client = &http.Client{Transport: tr}
    return c
}

// GetTasks - retrieves a list of tasks from the backend.
func (c *APIClient) GetTasks() ([]byte, error) {
    conf := config.GetInstance()
    url := fmt.Sprintf("%s/myurl", conf.GetConfig().APIUrl)

    req, err := http.NewRequest(http.MethodGet, url, nil)
    if err != nil {
        log.WithError(err).Errorf("Error creating HTTP request")
        return nil, err
    }

    // Add headers
    req.Header.Add("Authorization", conf.GetConfig().APIToken)
    req.Header.Add("Accept", "application/json")

    log.Info("Retrieving tasks from the API")
    resp, err := c.client.Do(req)
    if err != nil {
        log.WithError(err).Errorf("Error retrieving tasks from the backend")
        return nil, err
    }
    defer resp.Body.Close()

    if resp.StatusCode != 200 {
        errMsg := fmt.Sprintf("Received status: %s", resp.Status)
        err = errors.New(errMsg)
        log.WithError(err).Error("Error retrieving tasks from the backend")
        return nil, err
    }

    tasks, err := ioutil.ReadAll(resp.Body)
    if err != nil {
        log.WithError(err).Error("Error reading tasks response body")
        return nil, err
    }

    log.Info("The tasks were successfully retrieved")

    return tasks, nil
}

有没有另一种方法可以解决这个问题，而不必忽略证书验证？如果没有，我在代码中做错了什么？




Answer 1

你正在这样做：

// NewAPIClient - creates a new API client
func NewAPIClient() Client {
    c := &APIClient{}

    tr := &http.Transport{
        TLSClientConfig: &tls.Config{InsecureSkyVerify: true}, // <--- Problem
    }
    c.client = &http.Client{Transport: tr}
    return c
}

但它是InsecureSkipVerify而不是InsecureSkyVerify。

但是要小心，因为unsecureskipverify控制客户端是否验证服务器的证书链和主机名。如果unsecureskipverify为true，则crypto/tls接受服务器提供的任何证书以及该证书中的任何主机名。在此模式下，TLS容易受到中间机攻击，除非使用自定义验证。这只能用于测试或与VerifyConnection或VerifyPeerCertificate结合使用。

Answer 2

Golang使用OS证书存储。以下注释表明Go在Windows上使用Windows应用商店，类似于Linux。

//CertGet证书链将遍历Windows的根存储，试图构建经过验证的证书链

此注释和相关代码位于以下文件中：

https://golang.org/src/crypto/x509/root_windows.go

将服务器证书、中间CA证书和/或根CA证书添加到Windows XP证书存储库。您可以使用IBM发布的以下Windows XP说明：

程序

1. 从Windows XP中，选择开始

裁判：https://www.ibm.com/docs/en/b2b-integrator/5.2?topic=xp-在windows中安装根证书

GlobalSign和Secure为更现代的Windows版本提供了类似的说明，但上面的IBM链接是专门针对Windows XP的。下面的安全文档还包括屏幕截图。

• 导入和导出证书-Microsoft Windows
• 如何在Windows上手动安装Securly SSL证书-包括屏幕截图