Linux中使用curl命令访问https站点4种常见错误和解决方法
我要评论每一种客户端在处理https的连接时都会使用不同的证书库。IE浏览器和FireFox浏览器都可以在本浏览器的控制面板中找到证书管理器。在证书管理器中可以自由添加、删除根证书。
而Linux的curl使用的证书库在文件“/etc/pki/tls/certs/ca-bundle.crt”中。（CentOS）
以下是curl在访问https站点时常见的报错信息
1.Peer’s Certificate issuer is not recognized
[root@ip-172-31-32-208 Nginx]# curl https://m.ipcpu.com
curl: (60) Peer's Certificate issuer is not recognized.
more details here: http://curl.haxx.se/docs/sslcerts.html
此种情况多发生在自签名的证书，报错含义是签发证书机构未经认证，无法识别。
解决办法是将签发该证书的私有CA公钥cacert.pem文件内容，追加到/etc/pki/tls/certs/ca-bundle.crt。
我们在访问12306.cn订票网站时也报了类似的错误。
[root@ip-172-31-32-208 ~]# curl https://kyfw.12306.cn/
curl: (60) Peer's certificate issuer has been marked as not trusted by the user.
More details here: http://curl.haxx.se/docs/sslcerts.html
2.SSL routines:SSL3_GET_SERVER_CERTIFICATE:certificate verify failed
[root@GO-EMAIL-1 aa]# curl https://github.com/
curl: (60) SSL certificate problem, verify that the CA cert is OK. Details:
error:14090086:SSL routines:SSL3_GET_SERVER_CERTIFICATE:certificate verify failed
More details here: http://curl.haxx.se/docs/sslcerts.html
此问题多是由于本地CA证书库过旧，导致新签发证书无法识别。
经排查，github.com证书是由GTE CyberTrust Root签发,现行证书时间是：
1.不早于(1998/8/13 0:29:00 GMT)
2.不晚于(2018/8/13 23:59:00 GMT)
而在我们的Redhat5.3系统中ca-bundle.crt文件发现，GTE CyberTrust Root的时间已经过期。
Issuer: C=US, O=GTE Corporation, CN=GTE CyberTrust Root
Validity
Not Before: Feb 23 23:01:00 1996 GMT
Not After : Feb 23 23:59:00 2006 GMT
解决办法是更新本地CA证书库。
方法一：
下载http://curl.haxx.se/ca/cacert.pem 替换/etc/pki/tls/certs/ca-bundle.crt
方法二：
使用update-ca-trust 更新CA证书库。（CentOS6，属于ca-certificates包）
3.unknown message digest algorithm
[root@WEB_YF_2.7 ~]#curl https://www.alipay.com
curl: (35) error:0D0C50A1:asn1 encoding routines:ASN1_item_verify:unknown message digest algorithm
此问题多由证书本地openssl不能识别SSL证书签名算法所致。www.alipay.com 使用了SHA-256 RSA 加密算法。而openssl在OpenSSL 0.9.8o才加入此算法。
解决办法是升级本地openssl。
在我的操作系统RedHat5.3中,yum 升级openssl到openssl-0.9.8e-22.el5 就可以识别SHA-256算法。原因是Redhat每次都是给0.9.8e打补丁，而不是直接更换版本。在srpm包中我找到了这个补丁。
Summary: The OpenSSL toolkit
Name: openssl
Version: 0.9.8e
...
Patch89: openssl-fips-0.9.8e-ssl-sha256.patch
4.JAVA和PHP的问题
java和php都可以编程来访问https网站。例如httpclient等。
其调用的CA根证书库并不和操作系统一致。
JAVA的CA根证书库是在 JRE的$JAVA_HOME/jre/lib/security/cacerts，该文件会随着JRE版本的升级而升级。可以使用keytool工具进行管理。
PHP这边我没有进行测试，从php安装curl组件的过程来看，极有可能就是直接采用的操作系统curl一直的数据。
当然PHP也提供了 curl.cainfo 参数(php.ini)来指定CA根证书库的位置。
相关文章
Fedora Linux 42 稳定版发布: 带来大量新功能和软件更新
Fedora 42昨日发布，这是 Red Hat 赞助开发的杰出前沿 Linux 发行版的最新版，包含大量新功能和软件更新，使其成为 2025 年上半年发布的一款出色的 Linux 操作系统之一，内2025-04-16
如何在Linux查看硬盘信息? 查看Linux硬盘大小类型和硬件信息的5种方法
使用Linux系统的过程中，查看和了解硬盘信息是非常重要的工作，尤其是对于系统管理员而言，那么在Linux系统中如何查看硬盘信息?以下是具体内容介绍2025-03-12如何在 Linux 中查看 CPU 详细信息? 3招轻松查看CPU型号、核心数和温度
在日常运维工作中，获取 CPU 信息是系统运维管理员常见的工作内容，无论是为了性能调优、硬件升级还是仅仅满足好奇心2025-03-11
什么是 Arch Linux? 独树一帜的Arch Linux发行版分析
Arch Linux是为简化，优化，现代化，实用主义，用户中心和多功能性而创建Linux发行版，究竟是什么让 Arch 与众不同？下面我们就来简要解读2025-02-19- 一直用的linux办公，想要将笔记本电脑从 Linux 系统切换回 Windows 11，我们可以制作一个win11装机u盘，详细如下2025-02-17
Rsnapshot怎么用? 基于Rsync的强大Linux备份工具使用指南
Rsnapshot 不仅可以备份本地文件，还能通过 SSH 备份远程文件，接下来详细介绍如何安装、配置和使用 Rsnapshot，包括创建每小时、每天、每周和每月的本地备份，以及如何进2025-02-06
Linux Kernel 6.13发布:附更新内容及新特性解读
Linux 内核 6.13 正式发布，新版本引入了惰性抢占支持，简化内核抢占逻辑，通过减少与调度器相关的调用次数，让内核在运行时表现更优，从而提高效率2025-01-23
五大特性引领创新! 深度操作系统 deepin 25 Preview预览版发布
今日，深度操作系统正式推出deepin 25 Preview版本，该版本集成了五大核心特性：磐石系统、全新DDE、Treeland窗口合成器、AI For OS以及Distrobox子系统2025-01-18
Linux Mint Xia 22.1重磅发布: 重要更新一览
Beta 版 Linux Mint“Xia” 22.1 发布，新版本基于 Ubuntu 24.04，内核版本为 Linux 6.8，这次更新带来了诸多优化和改进，进一步巩固了 Mint 在 Linux 桌面操作系统领域的2025-01-16
LinuxMint怎么安装? Linux Mint22下载安装图文教程
Linux Mint22发布以后，有很多新功能，很多朋友想要下载并安装，该怎么操作呢？下面我们就来看看详细安装指南2025-01-16
最新评论