尝试访问我网站的 XML 文件时出现 cURL 60 错误答案

【问题标题】：cURL 60 error when trying to access my website's XML file尝试访问我网站的 XML 文件时出现 cURL 60 错误
【发布时间】：2020-01-31 04:07:54
【问题描述】：

当我使用“curl -v https://hostname/resource.xml”时，出现以下错误：

About to connect() to hostname.com port 443 (#0)
Trying x.x.x.x... connected
Connected to hostname.com (x.x.x.x) port 443 (#0)
Initializing NSS with certpath: sql:/etc/pki/nssdb
 CAfile: /etc/pki/tls/certs/ca-bundle.crt
CApath: none
Peer's certificate issuer is not recognized: 'CN=InCommon RSA Server CA,OU=InCommon,O=Internet2,L=Ann Arbor,ST=MI,C=US'
NSS error -8179
Closing connection #0
Peer certificate cannot be authenticated with known CA certificates
curl: (60) Peer certificate cannot be authenticated with known CA certificates
More details here: http://curl.haxx.se/docs/sslcerts.html

但是，当我尝试：“curl -v https://google.com/” 一切正常！

验证网站的证书位于 /etc/ssl/certs

我可以假设这是 SSL 证书和验证的问题，因为当我使用 -k 运行 curl 命令时它可以工作！

我已尝试以下方法进行故障排除：

确认服务器上的日期/时间正确

更新了 cacert.pem 证书（来源：cURL error 60: SSL certificate: unable to get local issuer certificate）

确认 Apache 配置正确

尝试将 SSL 证书 (website.crt) 添加到 /etc/pki/tls

我正在跑步：

CentOS 6.10 版（最终版）
curl 7.19.7 (x86_64-redhat-linux-gnu) libcurl/7.19.7 NSS/3.27.1 zlib/1.2.3 libidn/1.18 libssh2/1.4.2
PHP 7.1.32 (cli)

会不会是 SSLCertificateChain 不完整造成的？

感谢您的帮助！

【问题讨论】：

标签： ssl curl openssl ssl-certificate centos6

【解决方案1】：

您的网站证书的颁发者似乎是一个中间证书
CN=InCommon RSA Server CA,OU=InCommon,O=Internet2,L=Ann Arbor,ST=MI,C=US
，但它没有发送完整的链，即它只发送没有此中间证书的网站证书。您有 2 个选择：

更新了网站配置，将中间证书与网站证书捆绑在一起（首选方法）。
按照说明 here 更新 Apache 配置以使用中间证书。

基本上，您必须修改 Apache 安装的 httpd.conf 文件，特别是您网站的虚拟主机设置，并将 SSLCertificateChainFile 设置指向包含中间证书 (CN) 的 PEM (crt) 文件=InCommon RSA 服务器 CA,OU=InCommon,O=Internet2,L=Ann Arbor,ST=MI,C=US)

您可以在网络上找到您缺少的中间证书，例如here，并将此内容保存到文件中（例如 incommon_rsa.crt）。以下是您需要保存在文件中的内容：

将中间证书添加到系统信任的 CA 证书列表中（较少首选的方法，中间证书应该由客户端发送而不是通过将其添加到系统信任列表中来隐式信任CA 证书）。

同样，使用我在上面提供的内容保存中间证书文件，然后使用 CentOS 工具将其安装在您的受信任 CA 证书列表中，如here 所述。

【讨论】：

感谢您的回复！我能够通过使用中间证书完成链来解决此问题。
@J.VWilde 很高兴听到您解决了这个问题。请不要忘记将此标记为已接受的答案。