ThinkPHP使用CURL请求HTTPS接口失败_CA证书配置与环境SSL适配-ThinkPHP-PHP中文网

thinkphp https请求失败主因是未正确配置curl ssl验证选项：需显式设置curlopt_ssl_verifypeer=true、curlopt_ssl_verifyhost=2及绝对路径的curlopt_cainfo，禁用验证仅限本地调试。

thinkphp使用curl请求https接口失败_ca证书配置与环境ssl适配

curl_setopt 未启用 CURLOPT_SSL_VERIFYPEER 导致 HTTPS 请求直接拒绝

ThinkPHP 底层用 curl 发请求时，默认不校验证书，但现代 PHP（7.4+）+ OpenSSL 1.1.1+ 环境下，CURLOPT_SSL_VERIFYPEER 实际默认为 true，而多数本地开发环境没配 CA 证书路径，结果就是 SSL certificate problem: unable to get local issuer certificate 这类错误直接中断请求。

实操建议：

SSL Certificate Monitor

检查一个或多个域名的 SSL/TLS 证书到期时间、颁发者、协议及 SAN 信息，用于应要求检查证书、监控到期或验证 HTTPS 等场景。

下载

不要简单设 CURLOPT_SSL_VERIFYPEER 为 false —— 这等于关掉 TLS 验证，生产环境绝对禁止
优先用系统级 CA 证书：Linux/macOS 一般在 /etc/ssl/certs/ca-certificates.crt 或 /usr/share/curl/ca-bundle.crt；Windows 下需手动指定路径
ThinkPHP 5.1+ 的 think\facade\Http 支持全局配置，可在 config/http.php 加：
```
'options' => [
    CURLOPT_CAINFO => '/etc/ssl/certs/ca-certificates.crt',
]
```
若用原生 curl_init()，务必在 curl_setopt() 中显式设置 CURLOPT_CAINFO，且路径必须是绝对路径（相对路径在 CLI 模式下极易失效）

PHP cURL 扩展未启用或 OpenSSL 版本太低

报错如 cURL error 60、Unknown SSL protocol error 或干脆无响应，大概率不是代码问题，而是环境没准备好。

实操建议：

运行 php -m | grep curl 和 php -r "print_r(curl_version());"，确认 curl 扩展已加载，且 ssl_version 显示为 OpenSSL（非 Schannel 或 None）
检查 OpenSSL 版本：php -r "echo OPENSSL_VERSION_TEXT;"，低于 OpenSSL 1.0.2 的旧版本对 Let’s Encrypt 新根证书支持差，容易握手失败
Docker 环境常见坑：Alpine 镜像默认用 musl + libressl，不兼容部分 HTTPS 接口，建议切到 debian:slim 基础镜像并装 ca-certificates
Windows 下 XAMPP/WampServer 用户，要确认 php.ini 中 extension=php_curl.dll 已取消注释，且 curl.cainfo 指向有效证书文件（如 curl-ca-bundle.crt）

ThinkPHP Http 类未透传 CURLOPT_SSL_VERIFYHOST 导致域名验证失败

即使证书路径正确，仍可能遇到 SSL: certificate subject name '*.api.example.com' does not match target host name 'api.example.com' —— 这是 CURLOPT_SSL_VERIFYHOST 校验失败，而 ThinkPHP 默认未显式设置该选项，依赖 cURL 自身行为（新版 cURL 已默认严格校验）。

实操建议：

必须显式设置 CURLOPT_SSL_VERIFYHOST 为 2（推荐），而非 1（已废弃）或 0（禁用）

在 config/http.php 中补全：

'options' => [
    CURLOPT_SSL_VERIFYPEER => true,
    CURLOPT_SSL_VERIFYHOST => 2,
    CURLOPT_CAINFO         => '/path/to/cacert.pem',
]

注意：ThinkPHP 6.0+ 的 think\facade\Http 对 CURLOPT_SSL_VERIFYHOST 支持稳定；5.1.x 某些小版本存在透传 bug，可临时改用原生 curl 调用绕过
调试时可用 curl_getinfo($ch, CURLINFO_SSL_VERIFYRESULT) 查返回值，0 表示验证通过，非零即失败（对应 OpenSSL 错误码）

自签名证书或内网 HTTPS 接口的临时适配方案

对接测试环境、IoT 设备或私有 CA 签发的接口时，系统 CA 里没有对应根证书，硬塞证书路径又不方便，得找折中办法。

实操建议：

开发/测试环境允许时，用 CURLOPT_SSL_VERIFYPEER => false + CURLOPT_SSL_VERIFYHOST => 0 快速验证业务逻辑，但必须加注释标明“仅限本地调试”，CI/CD 流水线应拒绝含此配置的提交
更稳妥的做法：把内网 CA 证书合并进系统证书包（Linux 下 cat my-ca.crt >> /etc/ssl/certs/ca-certificates.crt && update-ca-certificates）
ThinkPHP 请求中可通过闭包方式动态覆盖选项，避免污染全局配置：
```
Http::withOptions(['curl' => [CURLOPT_SSL_VERIFYPEER => false]])->post(...)
```
千万别在生产代码里留 verify_peer = false，哪怕注释写“临时”，上线扫描工具会直接标红

证书路径写错、OpenSSL 版本不匹配、HTTP 类选项透传不完整——这三个点卡住的人最多，而且错误信息往往藏在底层 cURL 返回码里，不打日志根本看不到。