目录
1 背景
2 curl命令
3 libcurl 控制参数
4 双向认证
5 参考文档
1 背景
在使用浏览器访问https链接时,浏览器会自动请求网站的安全证书,并进行证书校验,以及(使用证书)参与后续的通道加密逻辑。
而使用curl(不管是curl.exe命令行工具,还是使用libcurl库)请求https时,在curl的标准逻辑里面,它也会使用类似浏览器的流程,进行证书校验和加密,此时这个证书校验流程对于使用者来说,可能是需要定制的(譬如不校验,标准校验,甚至双向校验东等)。
本文主要讨论通过设置libcurl的参数,来控制这个校验过程。
2 curl命令
2.1 忽略证书校验
curl --location "https://s.example.com/" --insecure
2.2 指定CA证书
curl --cacert "<path of ca.pem>"
3 libcurl控制参数(终端验证服务器)
3.1 CURLOPT_CAINFO
3.1.1 指定一个具体的CA证书路径(完整路径)
3.1.2 https://curl.se/libcurl/c/CURLOPT_CAINFO.html
3.1.3 e.g.
CURL *curl = curl_easy_init();
if(curl) {
curl_easy_setopt(curl, CURLOPT_URL, "https://example.com/");
curl_easy_setopt(curl, CURLOPT_CAINFO, "/etc/certs/cabundle.pem");
ret = curl_easy_perform(curl);
curl_easy_cleanup(curl);
}
3.2 CURLOPT_CAPATH
3.2.1 指定一个CA证书的路径(里面可以放置多个证书)
3.2.2 https://curl.se/libcurl/c/CURLOPT_CAPATH.html
3.3 CURLOPT_SSL_VERIFYPEER
3.3.1 https://curl.se/libcurl/c/CURLOPT_SSL_VERIFYPEER.html
3.3.2 是否校验服务器证书,设置为1(缺省值)表示校验,设置为0表示不校验
3.3.3 e.g.
CURL *curl = curl_easy_init();
if(curl) {
curl_easy_setopt(curl, CURLOPT_URL, "https://example.com");
/* Set the default value: strict certificate check please */
curl_easy_setopt(curl, CURLOPT_SSL_VERIFYPEER, 1L);
curl_easy_perform(curl);
}
3.4 CURLOPT_SSL_VERIFYHOST
3.4.1 https://curl.se/libcurl/c/CURLOPT_SSL_VERIFYHOST.html
3.4.2 这个值配合3.3的CURLOPT_SSL_VERIFYPEER使用,标识校验服务器证书的哪些内容。设置为2(缺省值)表示既校验证书的有效性,并且要校验证书的Common Name和实际访问的域名是匹配的(也就是标准的严格校验)。设置为0则表示只校验证书的有效性,不校验证书的Common Name。
3.4.3 如果 CURLOPT_SSL_VERIFYPEER 设置为0,则设置 CURLOPT_SSL_VERIFYHOST 无意义(会被libcurl自动设置为0)。
3.4.4 另外一些历史原因,这个值 CURLOPT_SSL_VERIFYHOST 曾经可以设置为1,在新版libcurl里面已经废除,可以参考3.4.1的相关内容。
4 双向认证参数
4.1 一般双向认证指客户端认证服务端,并且服务端也认证客户端。但是因为客户端认证服务端比较常见,这里只讨论服务端认证客户端的情形下,终端需要设置的参数,这种场景下客户端须向服务端提供自己的证书。
4.2 CURLOPT_SSLCERTTYPE
4.2.1 https://curl.se/libcurl/c/CURLOPT_SSLCERTTYPE.html
4.2.2 指定终端证书的类型:一般是 "PEM" or "DER"。
4.3 CURLOPT_SSLCERT
4.3.1 https://curl.se/libcurl/c/CURLOPT_SSLCERT.html
4.3.2 指定终端证书的完整路径,一般是和 CURLOPT_SSLCERTTYPE 一起使用。
4.4 CURLOPT_SSLKEYTYPE
4.4.1 https://curl.se/libcurl/c/CURLOPT_SSLKEYTYPE.html
4.4.2 配合CURLOPT_SSLKEY使用,指定终端证书私钥类型,一般使用 "PEM" 格式
4.5 CURLOPT_SSLKEY
4.5.1 https://curl.se/libcurl/c/CURLOPT_SSLKEY.html
4.5.2 指定终端证书的私钥文件全路径(嘿,为什么要指定私钥?大家可以思考下!)。
4.6 CURLOPT_KEYPASSWD
4.6.1 https://curl.se/libcurl/c/CURLOPT_KEYPASSWD.html
4.6.2 指定私钥证书的密码,配合 CURLOPT_SSLKEY 使用。
4.6.3 e.g.
CURL *curl = curl_easy_init();
if(curl) {
curl_easy_setopt(curl, CURLOPT_URL, "https://example.com/foo.bin");
curl_easy_setopt(curl, CURLOPT_SSLCERT, "client.pem");
curl_easy_setopt(curl, CURLOPT_SSLKEY, "key.pem");
curl_easy_setopt(curl, CURLOPT_KEYPASSWD, "superman");
ret = curl_easy_perform(curl);
curl_easy_cleanup(curl);
}
5 参考文档
[1] linux c++ curl https 请求并双向验证SSL证书 https://www.cnblogs.com/yongpan/p/8084854.html
[2] 证书类型原理及转换方式 https://segmentfault.com/a/1190000011709784
[3] https双向认证 https://blog.csdn.net/u014644574/article/details/126190061文章来源:https://www.toymoban.com/news/detail-597828.html
[4] HTTPS运行流程 https://zhuanlan.zhihu.com/p/60033345文章来源地址https://www.toymoban.com/news/detail-597828.html
到了这里,关于libcurl:https认证控制参数简介的文章就介绍完了。如果您还想了解更多内容,请在右上角搜索TOY模板网以前的文章或继续浏览下面的相关文章,希望大家以后多多支持TOY模板网!