以 PHP SSL 上下文选项可接受的格式导出 HTTPS 证书"cafile"

如何以 PHP SSL 上下文选项可接受的格式导出证书cafile？

我下面的代码使用openssl_x509_export将stackoverflow.com的证书链导出到文件中。该代码基于如何在PHP中使用CURL获取SSL证书信息？

$context = stream_context_create(["ssl" => ["capture_peer_cert_chain" => true]]);
$h = stream_socket_client(
"ssl://stackoverflow.com:443", $errno, $errstr, 30, STREAM_CLIENT_CONNECT,
$context);
$params = stream_context_get_params($h);
$ca = null;
foreach ($params["options"]["ssl"]["peer_certificate_chain"] as $cert)
{
openssl_x509_export($cert, $output);
$ca .= $output;
}
file_put_contents("cafile", $ca);

(我知道没有必要导出整个链。

然后，我尝试使用以下代码片段使用导出的文件连接到同一主机以验证证书。但代码失败并显示：

PHP 警告：file_get_contents((：SSL 操作失败，代码为 1。OpenSSL 错误消息：
错误：14090086：SSL 例程：SSL3_GET_SERVER_CERTIFICATE：证书验证失败/path/test.php 第 22 行

$context = stream_context_create(["ssl" => ["cafile" => "cafile"]]);
file_get_contents("https://stackoverflow.com/", false, $context);

文件格式有什么问题？

有趣的是，wget对导出的证书感到满意，则以下成功：

wget --ca-certificate=cafile https://sourceforge.net/

导出为：

一些背景：我正在使用 https://curl.se/docs/caextract.html 的证书包。

由于某种原因，PHP 无法验证"USERTrust RSA 证书颁发机构"颁发的证书，尽管根证书似乎存在于捆绑包中。例如，证书本身sectigo.com。这是我尝试找到根本原因或解决方法的一部分。

stackoverflow 仅提供服务器证书和中间 CA 证书，而不是根 CA 证书。

OpenSSL CAFILE 仅在完整链(到自签名根 CA(可以通过验证的情况下工作，

因此，您要么必须通过下载来信任自己的根 CA，要么使用某种 PKI 以便拥有所有全局受信任的根 CA。

在基于 Debian GNU/Linux 的机器上，您可以安装 ca-证书包，sudo apt-get install ca-certificates

或者你可以使用Mozilla https://curl.haxx.se/docs/caextract.html 的cacert

从这里下载 CA 证书 https://curl.haxx.se/ca/cacert.pem
执行以下代码：

<?php
$context = stream_context_create([
"ssl" => [
"cafile" => "cacert.pem"
]
]);
file_get_contents("https://stackoverflow.com/", false, $context);

您不会看到任何错误

解释：关于文档cafile接受Certificate Authority file但您尝试放置链证书

可能有误解。stream_context_create()是创建一个TCP服务器。它可以处理握手，但要做到这一点，必须有一个完整的密钥环，格式如下：

这是一个由openssl生成的.crt和私有.key文件，连接在一个文件中。

-----BEGIN CERTIFICATE-----
MIIDaDCCAlCgAwIB(...)
-----END CERTIFICATE-----
-----BEGIN RSA PRIVATE KEY-----
MIIEowIBAAK(...)
-----END RSA PRIVATE KEY-----

有了这样的密钥环，我能够实现 ssl/https 并保护 websockets 服务器 wss://。

不确定您要做什么，为什么 file_get_contents(( 在没有上下文的情况下不起作用。通常您不必导入任何 CAcert，如果是这样，它属于浏览器。

这在企业环境中非常有用，或者可以避免self_signed密钥环的错误。

因此，只是：

echo file_get_contents("https://stackoverflow.com/");

或

wget https://sourceforge.net/

它只是工作没有麻烦。

请准确地解释您要实现的目标，从有关 ssl 和 php 的实验中获得了许多笔记。

要提取给定服务器的公钥，您必须在端口 443 上进行查询：

<?php
$opt = [
"capture_peer_cert" => true,
"capture_peer_cert_chain" => true
];
$a = stream_context_create(["ssl"=>$opt]);
$b = stream_socket_client("tls://stackoverflow.com:443", $errno, $errstr, 30, STREAM_CLIENT_CONNECT, $a);
$cont = stream_context_get_params($b);
$key = openssl_pkey_get_public($cont["options"]["ssl"]["peer_certificate"]);
$c = openssl_pkey_get_details($key);
var_dump($c["key"]);

输出

string(451) "-----BEGIN PUBLIC KEY-----
MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAqdWs0NgjFlLV6yGQxYpu
7btsRTRWEi7fpSI8mSdTHgiZJY42ojQdNoLinhUUrj7DJNid18/DpjqBH271UHoz
HGsOogVT9VfkIRfiYYMjjkUJGUFfCSefCHDidT8KJMjAgDDlr3cR82o+9417MQvp
//jFO8rqvmNi7mRNYUGLX7WImv3tELZzw1JaZ41Ene2BA7wMzZymN/q9bJhThwoQ
4wMTLFvpSXyi7HDSrKZ3IobMdeiYWXBmW14jzznfdAf8wOcTRTglKJZXbTAHcRRy
qCmKTZoFq0MFbwwe1QhgENwojRkb3XDGv06QeElbGXNOwuk7w9+Xa9MC6GTeFqin
6wIDAQAB
-----END PUBLIC KEY-----
"

也许这个答案会有所帮助

相关内容

最新更新

热门标签：