SSL证书问题：无法获取本地颁发者证书

Question

我正在尝试向支付网关API发送数据。它要求以XML格式发送数据。我有以下代码：

<?php
$requestUrl = 'https://api.given.bypg'; //$block->getPaymentUrl();

$amount = 100; // $block->totalOrderAmount()*100; 

$approveUrl = $block->approveUrl();
$cancelUrl =  $block->cancelUrl();
$declineUrl = $block->declineUrl();


$merchant = 'mydomain.com'; 
//$amount = '100'; // in cents. 1$ = 100cents. 
$currency = '840'; // for dollar
$description = 'Happy customers is what we make.';
$merchantId = 'Nobel106513';
?>

<?php
echo $requestUrl;
$xml_data = '<TKKPG>
<Request>
<Operation>CreateOrder</Operation>
<Language>EN</Language>
<Order>
<OrderType>Purchase</OrderType>
<Merchant>'.$merchantId.'</Merchant>
<Amount>'.$amount.'</Amount>
<Currency>'.$currency.'</Currency>
<Description>'.$description.'</Description>
<ApproveURL>'.$approveUrl.'</ApproveURL>
<CancelURL>'.$cancelUrl.'</CancelURL>
<DeclineURL>'.$declineUrl.'</DeclineURL>
</Order>
</Request>
</TKKPG>';

$ch = curl_init();
        curl_setopt($ch, CURLOPT_URL, $requestUrl);
        curl_setopt($ch, CURLOPT_RETURNTRANSFER, true);
        curl_setopt($ch, CURLOPT_TIMEOUT, 60000);
        curl_setopt($ch, CURLOPT_CONNECTTIMEOUT, 10);
        curl_setopt($ch, CURLOPT_POST, 1);
        curl_setopt($ch, CURLOPT_POSTFIELDS, $xml_data);//My post data
        curl_setopt($ch, CURLOPT_FOLLOWLOCATION, TRUE);
        curl_setopt($ch, CURLOPT_SSL_VERIFYPEER, true);
        curl_setopt($ch, CURLOPT_SSL_VERIFYHOST, 2);
        curl_setopt($ch, CURLOPT_CAPATH, "/etc/apache2/ssl/m4/mydomain.com.crt");
        curl_setopt($ch, CURLOPT_CAINFO, "/etc/apache2/ssl/m4/mydomain.com.crt");
        curl_setopt($ch, CURLOPT_CERTINFO, 1);

        $headers = [];
        array_push($headers, 'Content-Type: text/xml;charset=UTF-8');
        //array_push($headers, 'SoapAction: *');
        curl_setopt($ch, CURLOPT_HTTPHEADER, $headers);
        $content = trim(curl_exec($ch));
        var_dump($content);
        var_dump(curl_getinfo($ch));
        var_dump(curl_errno($ch));
        var_dump(curl_error($ch));
        curl_close($ch);

1. var_dump($content); 的输出为空字符串 ''。

2. var_dump(curl_getinfo($ch)); 的输出为：

   array (size=26)
   'url' => string 'https://api.given.bypg'
   'content_type' => null
   'http_code' => int 0
   'header_size' => int 0
   'request_size' => int 0
   'filetime' => int -1
   'ssl_verify_result' => int 1
   'redirect_count' => int 0
   'total_time' => float 0.488533
   'namelookup_time' => float 0.028558
   'connect_time' => float 0.256858
   'pretransfer_time' => float 0
   'size_upload' => float 0
   'size_download' => float 0
   'speed_download' => float 0
   'speed_upload' => float 0
   'download_content_length' => float -1
   'upload_content_length' => float -1
   'starttransfer_time' => float 0
   'redirect_time' => float 0
   'redirect_url' => string '' (length=0)
   'primary_ip' => string '91.227.244.57' (length=13)
   'certinfo' =>
   array (size=0)
   empty
   'primary_port' => int 8444
   'local_ip' => string '192.168.100.64' (length=14)
   'local_port' => int 53456
   

3. var_dump(curl_errno($ch)); 的输出为：int 60

4. var_dump(curl_error($ch)); 的输出为：

   string 'SSL certificate problem: unable to get local issuer certificate' (length=63) 从 curl_getinfo() 看来，API 没有返回数据。请帮帮我，我已经看过几乎所有社区中提出的解决方案了。

我编辑了我的 php.ini 文件，给出了从 curl 网站下载的证书路径。但这也没有起作用。

- P S

---

错误意味着 /etc/apache2/ssl/m4/mydomain.com.crt 没有包含签署 HTTPS 服务器证书的 CA 证书。您需要添加它们。 - Oleg

@Oleg 抱歉，我不太明白。我是从我的支付网关获得了这个证书。您能再详细解释一下吗？感谢您的回复。 - P S

Answer 1

当您连接到服务器以建立安全连接时，作为客户端的您在与服务器开始对话时会收到服务器的证书。此证书及其私钥用于建立安全连接。作为客户端，您希望确保服务器的证书是可信的，并且不是由中间人攻击者创建的。因此，您的客户端需要拥有签署服务器证书的CA证书。上述错误意味着客户端尝试查找服务器证书颁发者（或链中的一个颁发者），但未找到。它尝试查找的位置在指定的/etc/apache2/ssl/m4/mydomain.com.crt文件中。您有两个选择：将CA证书添加到文件中，或通过将CURLOPT_SSL_VERIFYPEER设置为false来禁用服务器证书验证（不安全）。

- Oleg

---

我已经将我的 .csr、.crt 和 .key 文件放在 /etc/apache2/ssl/m4/ 中。还需要什么，该怎么做？ - P S

你需要将签署服务器证书的CA证书放置到/etc/apache2/ssl/m4/mydomain.com.crt文件中，而不是/etc/apache2/ssl/m4/目录中。 - Oleg

下一步：您指定了 CURLOPT_SSL_VERIFYHOST=2。来自 curl 文档： 当 CURLOPT_SSL_VERIFYHOST 为2时，证书必须表明服务器是您要连接的服务器，否则连接将失败。简而言之，这意味着它在证书中必须有与您操作的 URL 中相同的名称。您的证书是否符合此要求？ - Oleg

建议尝试逐个删除选项，降低安全性直到它开始工作，然后您就会知道哪个检查失败了。 - Oleg

好的，我会这样做。 - P S

Answer 2

我从我的API提供商那里得到了支持，他们指出了我的方法中缺少的一些内容。对于他们的网关，我需要在curl请求中加载私钥、公钥和保护这些密钥的密码。解决方案如下：

/*ssl crts*/
$twpg_cert_file = "/etc/apache2/ssl/m4/mydomain.com.crt";
$twpg_key_file = "/etc/apache2/ssl/m4/mydomain.com.key";
$twpg_key_password = '';
/*ssl crts*/
$ch = curl_init();
        curl_setopt($ch, CURLOPT_URL, $requestUrl);
        curl_setopt($ch, CURLOPT_RETURNTRANSFER, true);
        curl_setopt($ch, CURLOPT_TIMEOUT, 60000);
        curl_setopt($ch, CURLOPT_CONNECTTIMEOUT, 10);
        curl_setopt($ch, CURLOPT_POST, 1);
        curl_setopt($ch, CURLOPT_POSTFIELDS, $xml_data);//My post data
        curl_setopt($ch, CURLOPT_FOLLOWLOCATION, TRUE);
        curl_setopt($ch, CURLOPT_SSL_VERIFYPEER, true);
        curl_setopt($ch, CURLOPT_SSL_VERIFYHOST, 2);
        curl_setopt($ch, CURLOPT_SSLCERT,  $twpg_cert_file);
        curl_setopt($ch, CURLOPT_SSLKEY, $twpg_key_file);
        curl_setopt($ch, CURLOPT_SSLKEYPASSWD, $twpg_key_password);
        curl_setopt($ch, CURLOPT_CERTINFO, 1);
        $headers = [];
        array_push($headers, 'Content-Type: text/xml;charset=UTF-8');
        curl_setopt($ch, CURLOPT_HTTPHEADER, $headers);
        $content = trim(curl_exec($ch));
        curl_close($ch);

现在一切都按预期运行。

- P S