PHP怎么处理HTTPS请求_curl_setopt忽略证书验证方法【详解】-php教程-PHP中文网

必须关闭 curlopt_ssl_verifypeer 才能连接 https 是因为 curl 默认严格校验证书链和域名匹配，自签名、本地开发或不受信证书会触发拒绝；这是安全设计而非 bug，仅限开发调试临时禁用，生产环境严禁。

php怎么处理https请求_curl_setopt忽略证书验证方法【详解】

curl_setopt 为什么必须关掉 CURLOPT_SSL_VERIFYPEER 才能连 HTTPS

因为默认情况下 curl_setopt 要校验证书链和域名匹配，而自签名证书、本地开发用的 HTTPS 服务、或过期/不被系统信任的证书都会触发 CURLOPT_SSL_VERIFYPEER 拒绝连接。这不是 bug，是安全设计——但开发调试时它确实拦路。

常见错误现象：SSL certificate problem: unable to get local issuer certificate 或 Peer's Certificate issuer is not recognized。

只在开发/测试环境关验证，生产环境绝对不要设 CURLOPT_SSL_VERIFYPEER = false
如果只是缺 CA 包，优先补全 CURLOPT_CAINFO（比如指向 cacert.pem），而不是直接关校验
CURLOPT_SSL_VERIFYHOST 必须同步设为 0（PHP 7.0.7+ 已废弃该选项，但旧版本仍需配）

PHP 中忽略证书验证的最小安全写法

不是简单加两行 curl_setopt($ch, CURLOPT_SSL_VERIFYPEER, false) 就完事。漏掉 CURLOPT_SSL_VERIFYHOST 在老 PHP 版本里可能仍报错；不设 CURLOPT_SSLVERSION 可能协商出不安全的 TLS 版本。

推荐写法（兼容 PHP 5.6+）：

CurlShip Directory Submission

向CurlShip提交产品，这是一个对机器人友好的SaaS目录。只需一条curl命令即可发布产品，支持OG标签抓取、带徽章的dofollow链接及层级升级。

下载

curl_setopt($ch, CURLOPT_SSL_VERIFYPEER, false);
curl_setopt($ch, CURLOPT_SSL_VERIFYHOST, 0);
curl_setopt($ch, CURLOPT_SSLVERSION, CURL_SSLVERSION_TLSv1_2);

CURLOPT_SSLVERSION 显式指定 TLS 1.2+，避免降级到 SSLv3/TLS 1.0（已被标记为不安全）
PHP 7.3+ 默认禁用 TLS 1.0/1.1，但低版本不会自动拒绝，得手动约束
别用 CURL_SSLVERSION_DEFAULT 或留空，行为依赖 cURL 编译时的 OpenSSL 版本，不可控

为什么用 curl_init() 后立刻设 CURLOPT_SSL_VERIFYPEER 会失效

某些 PHP 环境（尤其是 Windows 下的 XAMPP、WAMP）预置了全局 curl.cainfo 配置，一旦开启 CURLOPT_SSL_VERIFYPEER = true，cURL 会强制读取这个路径下的证书包。如果你没改配置，又没放对文件，就容易出现“开了验证却连不上”的假象。

检查 php.ini 中 curl.cainfo 是否指向一个真实存在的 .pem 文件
临时绕过：用 ini_set('curl.cainfo', '') 清掉全局设置，再设 CURLOPT_SSL_VERIFYPEER
更稳妥的做法是显式传入证书路径：curl_setopt($ch, CURLOPT_CAINFO, '/path/to/cacert.pem')

替代方案：用 stream_context_create 处理 HTTPS 请求

不是所有场景都非用 cURL 不可。如果只是发个简单 GET/POST，file_get_contents 配合 stream_context_create 更轻量，且证书控制逻辑更透明。

示例（跳过验证）：

$context = stream_context_create([
    'http' => ['method' => 'GET'],
    'ssl' => [
        'verify_peer' => false,
        'verify_peer_name' => false,
        'allow_self_signed' => true,
    ]
]);
file_get_contents('https://test.local/api', false, $context);