最稳妥起点是调用pem_read_x509自动处理pem头与base64解码；需配合x509_check_trust或x509_store验证信任链，解析时间须用asn1_time_normalize转utc防时区误判，公钥导出需区分pem_write_bio_pubkey与rsapublickey，内存必须严格配对释放。

用OpenSSL API读取PEM格式X509证书并校验有效性

直接调用 PEM_read_X509 是最稳妥的起点，它能自动处理 PEM 封装头（-----BEGIN CERTIFICATE-----）和 Base64 解码。别用 fread 手动读原始字节再传给 d2i_X509，容易因换行、空格或BOM导致解析失败。

关键检查点：

• PEM_read_X509 返回 nullptr 时，用 ERR_get_error() 查具体错误，常见是文件路径错、权限不足或内容不是合法 PEM
• 必须调用 X509_check_trust 或至少 X509_verify_cert 配合自建 X509_STORE，否则 X509_get_not_before 返回的时间只是字段值，不保证未被篡改
• 证书可能含 UTC 时间或 generalizedtime，OpenSSL 内部统一转为 ASN1_TIME，但输出需用 ASN1_TIME_print 或手动转 struct tm

提取RSA公钥并导出为PEM/DER格式

从 X509* 拿公钥不能只调 X509_get_pubkey，它返回的是 EVP_PKEY*，类型抽象——得先用 EVP_PKEY_base_id 判断是否为 EVP_PKEY_RSA，再用 EVP_PKEY_get1_RSA 获取裸 RSA* 结构。

导出注意事项：

• 要 PEM 格式公钥（-----BEGIN PUBLIC KEY-----），用 PEM_write_bio_PUBKEY；要传统 PKCS#1 RSA 公钥（-----BEGIN RSA PUBLIC KEY-----），必须用 PEM_write_bio_RSAPublicKey，二者编码结构不同，下游系统可能只认其一
• 若只需模长和指数做轻量验证，用 RSA_get0_key 提取 const BIGNUM *n, *e，避免内存拷贝；但 BIGNUM 不能直接当字符串用，得调 BN_bn2hex 或 BN_bn2dec
• 释放顺序很重要：先 RSA_free（如果用了 EVP_PKEY_get1_RSA），再 EVP_PKEY_free，否则 RSA* 指针悬空

解析有效期时绕过时区与系统本地时间陷阱

X509_get_not_before 和 X509_get_not_after 返回的是 ASN1_TIME*，它本身不带时区标识，但 X.509 标准强制要求 UTC。问题出在 OpenSSL 的 ASN1_TIME_to_tm 默认按本地时区解释——若你的服务器在东八区，而证书过期时间是 20250101000000Z，ASN1_TIME_to_tm 可能误转成 08:00，导致提前 8 小时判定过期。

C++14

C++14 对 C++11 的修正与增强版本，适合旧系统维护和较老工具链兼容。

下载

安全做法：

• 用 ASN1_TIME_normalize 强制转为 UTC 格式后再处理
• 或跳过 ASN1_TIME_to_tm，直接用 ASN1_TIME_print 写入 BIO，再读出标准 UTC 字符串（如 "Jan 1 00:00:00 2025 GMT"），避免任何时区转换逻辑介入
• 比较有效期时，别用 time_t 直接比大小——先用 OPENSSL_gmtime 转为 UTC struct tm，再用 mktime（注意设 tm_isdst = 0）转 time_t，否则夏令时会乱套

内存管理与线程安全踩坑点

OpenSSL 1.1.1+ 默认启用线程安全，但 X509* 对象本身不共享，每次 PEM_read_X509 返回新对象，必须配对 X509_free；漏掉会导致证书链解析时内存持续增长。

多线程场景下易错：

• ERR_get_error 是线程局部的，但 ERR_load_crypto_strings 必须在主线程调一次，否则子线程里 ERR_error_string 返回空
• 不要跨线程传递 BIO*，尤其是 BIO_new_file 创建的；改用 BIO_new_mem_buf + 内存缓冲区更可控
• X509_STORE 可复用，但 X509_STORE_CTX 必须每验证一次新建、用完即 X509_STORE_CTX_free，它是非线程安全的临时上下文

证书解析真正的复杂点不在 API 调用链，而在时间语义一致性、内存所有权边界和错误分支的完整性——少一个 if (x == nullptr) 或漏一次 _free，调试时可能表现为随机段错误或证书“明明有效却报过期”。

C++免费学习笔记（深入）：立即使用
在学习笔记中，你将探索 C++ 的入门与实战技巧！