HTTPS リクエストが成功すると、HTTP クライアントが 既知の信頼できるルートのリストに対するサーバー提供の TLS 証明書 証明書。 PHP Curl 拡張機(jī)能も違いはありません。カール 拡張機(jī)能は libcurl を使用して HTTPS リクエストを作成し、さらに libcurl は OpenSSL などの TLS ライブラリを使用してリクエストを検証します。

Curl 拡張機(jī)能には、次の內(nèi)容を含む有効なファイルが必要です。すべての HTTPS 検証を完了するための信頼されたルート証明書、および PHP これを php.ini ファイル內(nèi)のディレクティブとして公開します。

Linux、BSD、および macOS では、libcurl はデフォルトでシステム ルートに設(shè)定できます。 証明書を使用しますが、Windows ではこれを行うことはできません。 すべてのシステム ルートを含む 1 つのファイルが付屬しているわけではありません

この記事では、Curl 拡張機(jī)能を使用して HTTPS リクエストを正常に実行するための 2 つの方法と、HTTPS リクエストが安全でないままにしてはいけないことについて説明します。

失敗する理由

$ch?=?curl_init('https://php.watch');??
curl_setopt($ch,?CURLOPT_RETURNTRANSFER,?true);??
curl_exec($ch);?//?false??

curl_error($ch);
//?SSL?certificate?problem:?unable?to?get?local?issuer?certificate

curl_exec 呼び出しが誤った応答で失敗し、curl_error が SSL 証明書の問題を示している場合: ローカル発行者を取得できません証明書エラー。これは、Curl にルート証明書を含むファイルが提供されなかったか、ルート証明書を検出できなかったことを意味します。

このエラーは、Linux、BSD、および macOS システムではまれですが、非常にまれです。 ルートを取得するための指定されたファイルがないため、Windows では一般的です。 証明書が含まれており、PHP にはルート証明書リストが同梱されていません。 own.

解決策は、最新のルートを含むファイルを提供することです 証明書を使用するか、理想的には、Curl にネイティブ ルート ストアを解析させます。

ネイティブ認(rèn)証局を使用する

Curl 7.71 以降では、Curl を設(shè)定できます。 Curl にネイティブ (システム) ルート証明書を使用するよう要求するオプション。 これは Windows でも機(jī)能し、Curl はシステム ルート証明書を解析します。

CURLOPT_SSL_OPTIONS オプションが CURLSSLOPT_NATIVE_CA に設(shè)定されている場合 またはそれらのビットを含むビットマスクの場合、Curl はネイティブのビットマスクを使用しようとします。 ルート証明書ストア。の機(jī)能とバージョンに応じて異なります。 基礎(chǔ)となる TLS ライブラリ。

これは、Curl 拡張機(jī)能が Curl 7.71 以降および PHP 8.2 以降で構(gòu)築されている場合に推奨される修正です。

?$ch?=?curl_init('https://php.watch');
??curl_setopt($ch,?CURLOPT_RETURNTRANSFER,?true);
???curl_setopt($ch,?CURLOPT_SSL_OPTIONS,?CURLSSLOPT_NATIVE_CA);
????curl_exec($ch);

上記のスニペットは、 Curl のバージョンと PHP バージョンであり、PHP と Curl の両方のバージョン要件が満たされていることを前提としています。の 以下は、Curl オプションを條件付きで追加する例です。

$ch?=?curl_init('https://php.watch');??
curl_setopt($ch,?CURLOPT_RETURNTRANSFER,?true);??
if?(defined('CURLSSLOPT_NATIVE_CA')??
??&&?version_compare(curl_version()['version'],?'7.71',?'>='))?{??
????curl_setopt($ch,?CURLOPT_SSL_OPTIONS,?CURLSSLOPT_NATIVE_CA);
}??
curl_exec($ch);

cacert.pem ファイルをダウンロードして維持します

8.2 より古いバージョンの PHP で実行されているアプリケーションの場合 (CURLSSLOPT_NATIVE_CA 定數(shù)は使用できません)、または Curl のバージョンが 7.71 より古い場合、 推奨される代替ソリューションは、Curl 互換のファイルをダウンロードすることです。 ルート証明書ファイルを作成し、それを使用するように PHP または Curl リクエストを構(gòu)成します。

Curl プロジェクトは、証明書の最新のリストを管理します。 Mozilla から抽出された CA 証明書を參照してください。

1. cacert.pem ファイルをダウンロードします

2. PHP および Web サーバーがアクセスできるディレクトリにファイルを移動(dòng)します。たとえば、C:/php/cacert.pem.

3. に php.ini ファイルを編集し、cacert.pem ファイルへの絶対パスを指すようにcurl.cainfo エントリを変更します。

4. $ch?=?curl_init('https://php.watch');??
   curl_setopt($ch,?CURLOPT_RETURNTRANSFER,?true);??
   curl_exec($ch);?//?false??
   
   curl_error($ch);
   //?SSL?certificate?problem:?unable?to?get?local?issuer?certificate

5. 必要に応じて、Web サーバーを再起動(dòng)します (例:
   

このアプローチの欠點(diǎn)は、cacert.pem ファイルを定期的に更新する必要があることです。 cacert.pem たとえば、Curl プロジェクトによって提供されるファイルはルートから抽出されます。 Mozilla によって管理されるストア。平均すると、このリストとファイルは次のようになります。 年に4?5回更新されます。最新のルートとの互換性を確保するには 証明書リスト。このファイルのローカル コピーを必ず更新してください。 定期的に

INI ファイルを変更できない場合は、Curl リクエスト內(nèi)で cacert.pem ファイルへの絶対パスも指定します:

?$ch?=?curl_init('https://php.watch');
??curl_setopt($ch,?CURLOPT_RETURNTRANSFER,?true);
???curl_setopt($ch,?CURLOPT_SSL_OPTIONS,?CURLSSLOPT_NATIVE_CA);
????curl_exec($ch);

PHP 8.2 と Curl 7.77 、CURLOPT_CAINFO_BLOB を使用して cacert.pem の內(nèi)容を含む文字列を取得することができます。オプション。

以上がWindows で PHP Curl HTTPS 認(rèn)証局の問題を修正する方法の詳細(xì)內(nèi)容です。詳細(xì)については、PHP 中國語 Web サイトの他の関連記事を參照してください。