Golang从哪里获取根证书颁发机构？

Question

crypto/tls.Config.RootCAs 说明

// RootCAs defines the set of root certificate authorities
// that clients use when verifying server certificates.
// If RootCAs is nil, TLS uses the host's root CA set.

在Linux中，“主机的根CA集”从哪里获取？我需要知道这一点，以便能够全局添加另一个根CA来建立信任。

在Linux中，“主机的根CA集”从哪里获取？我需要知道这一点，以便能够全局添加另一个根CA来建立信任。

- Ztyx

---

这是一个系统配置问题；Go 与此无关。对于所有编程语言都是一样的，取决于您的系统如何配置。 - joshlf

好的，它是如何确定我的系统配置的呢？ - Ztyx

在 Darwin 上，相关文件位于 x509 包中：root_cgo_darwin.go。 - joshlf

找到答案了。写下了我的问题的答案。 - Ztyx

Answer 1

它会在以下位置进行搜索：https://golang.org/src/crypto/x509/root_linux.go

摘录

// Copyright 2015 The Go Authors. All rights reserved.
// Use of this source code is governed by a BSD-style
// license that can be found in the LICENSE file.

package x509

// Possible certificate files; stop after finding one.
var certFiles = []string{
    "/etc/ssl/certs/ca-certificates.crt",                // Debian/Ubuntu/Gentoo etc.
    "/etc/pki/tls/certs/ca-bundle.crt",                  // Fedora/RHEL 6
    "/etc/ssl/ca-bundle.pem",                            // OpenSUSE
    "/etc/pki/tls/cacert.pem",                           // OpenELEC
    "/etc/pki/ca-trust/extracted/pem/tls-ca-bundle.pem", // CentOS/RHEL 7
    "/etc/ssl/cert.pem",                                 // Alpine Linux
}

- Ztyx

---

请注意，额外的根密钥将从在同一.go文件中定义的certDirectories目录中的文件中读取。具体来说，此列表包括/etc/ssl/certs和/etc/pki/tls/certs。 certFiles和certDirectories均可通过环境变量（分别为SSL_CERT_FILE和SSL_CERT_DIR）进行覆盖。 - matz

Answer 2

您还可以设置环境变量 "SSL_CERT_FILE" 以让 Golang 使用您自定义的证书文件。

- Linden X. Quan

---

它会覆盖现有的还是只是额外添加？ - Samet Baskıcı

抱歉，我不记得了。我现在不再使用golang了。 - Linden X. Quan

Answer 3

在Go语言的较新版本中，除了上述已提到的证书路径外，Go语言还将在一组常见的目录中搜索任何证书PEMs。

/etc/ssl/certs                 // SLES10/SLES11
/etc/pki/tls/certs             // Fedora/RHEL
/system/etc/security/cacerts   // Android

Linux操作系统的路径在这里定义：https://golang.org/src/crypto/x509/root_linux.go。实际的证书查找和添加发生在这里：https://golang.org/src/crypto/x509/root_unix.go。

- Saad Malik

Answer 4

以下是位置信息，找到一个后停止：

"/etc/ssl/certs/ca-certificates.crt",                // Debian/Ubuntu/Gentoo etc.
"/etc/pki/tls/certs/ca-bundle.crt",                  // Fedora/RHEL 6
"/etc/ssl/ca-bundle.pem",                            // OpenSUSE
"/etc/pki/tls/cacert.pem",                           // OpenELEC
"/etc/pki/ca-trust/extracted/pem/tls-ca-bundle.pem", // CentOS/RHEL 7
"/etc/ssl/cert.pem",                                 // Alpine Linux

- Bill Zelenko