PHP stream_socket_client 连接失败

Question

我正在尝试通过 php 的 stream_socket_client() 命令联系一个 url，该命令失败，没有错误代码或 msg。这是否使用 openssl、curl 或其他东西？该站点使用 https 并且可以在 Web 浏览器中正常工作。

当我直接调用 openssl 时，它会连接，但对我的证书链似乎不满意。

root@drupal7 drupal7/includes# openssl s_client -connect test.cgps.org:443
CONNECTED(00000003)
Verify return code: 21 (unable to verify the first certificate)

与卷曲相同

curl https://test.cgps.org/?q=/admin/config/search/clean-urls/check
curl: (60) SSL certificate problem: unable to get local issuer certificate

所以我认为我需要将中间证书安装到 Linux 中，我通过将 Apache 使用的相同中间证书放入 /usr/local/share/ca-certificates 并运行 update-ca-certificates 来做到这一点。

root@drupal7 drupal7/includes# update-ca-certificates
Updating certificates in /etc/ssl/certs... 1 added, 0 removed; done.
Running hooks in /etc/ca-certificates/update.d....done.

仍然没有运气......

Answer 1

尽管在 cmets 中声明说 PHP 的 steam_socket_client() 级别太低，无法关心证书，但我知道它确实在乎，因为我观察到它返回false 在标准位置缺少某些证书的系统上，提供流上下文（告诉它在哪里寻找证书）阻止这种情况发生。

令人沮丧的是，$errno 在您修复此问题之前可能保持为 0，因此您最好先使用其他工具检查您的证书颁发机构目录。

诊断

通过curl

要使用curl，您通常可以通过添加--verbose 标志来弄清楚发生了什么。这应该告诉您正在使用哪个连接的 PEM 证书文件 (CAfile/cacert) 和 CA 目录 (capath)，如果有的话。在输出的顶部，你会得到类似的东西：

[...]
* successfully set certificate verify locations:
*   CAfile: /etc/pki/tls/certs/ca-bundle.crt
  CApath: /home2/wynddorg/private_html/trusted_roots
[...]

一旦您知道这些默认设置是什么，您就可以调整您的系统配置或简单地添加--cacert <concatenated_cert_path> 标志或--capath <c_rehash'd_directory> 或两者兼而有之。

通过openssl s_client

使用s_client 有点棘手；根据您的版本和编译方式，您可能可以访问其-trace 选项，但请尝试：

strace -e open,stat openssl s_client -connect test.cgps.org:443 [-CApath <dir>]
# this trick provided by the amazing xemdetia in irc://freenode/%23%23openssl

在CONNECTED(00000003) 消息之后大约 5 行，您应该会看到一个 open("...", O_RDONLY)（或多个），它应该显示哪些位置正在用于查找证书。

---

我缺少一个或多个证书。现在呢？

一旦您知道缺少哪些证书，您可以下载它们as shown here，然后执行任何操作：

• 将它们连接成一个 PEM 文件（最好是in order），然后在您尝试连接到您的站点时指定该文件
• 将它们作为单独的“.crt”文件保存在默认目录中，然后在该目录上运行c_rehash（可能需要root/sudo）
• 将它们作为单独的“.crt”文件保存在另一个目录中，并在连接时将其明确指定为 capath。您可能希望在共享主机上执行此操作，或者如果您不希望所有应用程序都信任证书，而只信任某些证书。

一旦您使用 openssl s_client 或 curl 或两者，您可以指定相同的选项，如下所示：

$context = stream_context_create();
stream_context_set_option($context, 'ssl', 'cafile', <concatenated_cert_file_path>);
stream_context_set_option($context, 'ssl', 'capath', <c_rehashed_cert_dir_path>);
// You only really need to provide one of the two options above. Using capath is
// faster, but this only matters if you'll be making a huge number of
// connections.
$ssc = stream_socket_client(
    'ssl://subdomain.example.com:443',
    $errno,
    $errstr,
    30,
    STREAM_CLIENT_CONNECT,
    $context
);
if ($ssc) { /* ... */  }