用 curl 显示收到的证书？

Question

使用稍旧的 curl 版本，我有一个方便的批处理文件：

curl --verbose -k https://%1 2>&1 |grep -E "Connected to|subject|expire"

这将显示连接到的 IP，以及协商的实际证书的主题和到期日期，即使这不是该域名的正确证书——这有时是我们托管的问题（我们实际上是托管我们的多租户应用程序上有数千个域，其中大约一半拥有自己的证书）。

具体来说，在 grep 过滤之前，我会在 stderr 输出中看到类似的内容：

* Server certificate:
*  subject: CN=academy-fran.chi.v6.pressero.com
*  start date: Feb 22 04:55:00 2017 GMT
*  expire date: May 23 04:55:00 2017 GMT
*  issuer: C=US; O=Let's Encrypt; CN=Let's Encrypt Authority X3
*  SSL certificate verify ok.

今天我不得不在我的机器上重新安装操作系统，并重新安装了 curl。现在在版本 7.52.1 (x86_64-w64-mingw32)；前一个似乎是 7.49.1 (i686-pc-cygwin)。无论是否使用 -k，无论 TLS 连接是否成功，Curl 都不再显示任何证书信息。

有没有一个选项可以把它还给我？

Answer 1

这是我的替换批处理文件，使用 openssl 而不是 curl：

@echo off
nslookup %1
(openssl s_client -showcerts -servername %1 -connect %1:443 <nul |openssl x509 -text |findstr /I "DNS After") 2>nul

这给了我这个输出：

C:\>seecert www.google.com
Server:         192.168.1.1
Address:        192.168.1.1#53

Non-authoritative answer:
Name:   www.google.com
Address: 172.217.10.228
Name:   www.google.com
Address: 2607:f8b0:4006:813::2004

            Not After : Aug 16 09:49:00 2018 GMT
                DNS:www.google.com

Answer 2

对于 OSX 或 Linux 上的其他任何人，您可以将其添加到您的 ~/.zshrc 文件中：

function seecert () {
  nslookup $1
  (openssl s_client -showcerts -servername $1 -connect $1:443 <<< "Q" | openssl x509 -text | grep -iA2 "Validity")
}

示例用法，在上述添加后运行source ~/.zshrc：

% seecert www.google.com
Server:         1.1.1.1
Address:        1.1.1.1#53

Non-authoritative answer:
Name:   www.google.com
Address: 172.217.10.100

depth=2 OU = GlobalSign Root CA - R2, O = GlobalSign, CN = GlobalSign
verify return:1
depth=1 C = US, O = Google Trust Services, CN = GTS CA 1O1
verify return:1
depth=0 C = US, ST = California, L = Mountain View, O = Google LLC, CN = www.google.com
verify return:1
DONE
        Validity
            Not Before: Nov  3 07:39:18 2020 GMT
            Not After : Jan 26 07:39:18 2021 GMT

感谢 @ross-presser 和 his answer 提供此功能的灵感。