每个人都可以，
拥有SSL证书

在PHP开发中，使用cURL或OpenSSL请求HTTPS接口时，若服务器配置自签名证书或证书链不完整，常出现SSL certificate problem: self signed certificate in certificate chain或unable to get local issuer certificate错误。本文系统梳理四种解决方案，帮助开发者安全处理证书验证问题。

问题根源

PHP默认会验证HTTPS证书的合法性，验证失败场景包括：

• 服务器使用自签名证书
• 证书链缺失中间CA证书
• 客户端未配置信任的根证书

解决方案

跳过SSL验证（仅限开发环境）

$ch = curl_init("https://example.com");
curl_setopt($ch, CURLOPT_SSL_VERIFYPEER, false); // 跳过对端证书验证
curl_setopt($ch, CURLOPT_SSL_VERIFYHOST, false); // 跳过主机名验证
$response = curl_exec($ch);
curl_close($ch);

风险：此方法会禁用所有SSL验证，使连接暴露于中间人攻击风险中，严禁在生产环境使用。

指定CA证书路径（推荐方案）

1. 获取CA证书包
   从cURL官方下载最新cacert.pem文件，保存至服务器目录（如/etc/ssl/certs/）。

2. 代码中指定证书路径

   $ch = curl_init("https://example.com");
   curl_setopt($ch, CURLOPT_CAINFO, '/path/to/cacert.pem'); // 绝对路径
   $response = curl_exec($ch);
   curl_close($ch);

3. 全局配置（生产环境推荐）
   在php.ini中添加：

   curl.cainfo = "/path/to/cacert.pem"
   openssl.cafile = "/path/to/cacert.pem"

补充完整证书链

当服务器证书链不完整时（如缺少中间CA证书），需合并证书文件：

# 合并服务器证书、中间证书和根证书
cat server.crt intermediate.crt root.crt > fullchain.pem

PHP代码中指定合并后的证书：

curl_setopt($ch, CURLOPT_CAINFO, '/path/to/fullchain.pem');

使用系统证书存储（Linux环境）

若系统已安装CA证书（如Ubuntu的ca-certificates包），可直接指向系统路径：

curl_setopt($ch, CURLOPT_CAINFO, '/etc/ssl/certs/ca-certificates.crt');

证书验证工具

使用OpenSSL函数检查证书有效性：

$cert = file_get_contents('/path/to/certificate.pem');
$certInfo = openssl_x509_parse($cert);
print_r($certInfo); // 显示有效期、颁发者等信息

// 验证证书有效性
$isValid = openssl_x509_checkpurpose($cert, X509_PURPOSE_ANY, ['cafile' => '/path/to/cacert.pem']);
echo $isValid ? "证书有效" : "证书无效";

方案对比