升级Ubuntu服务器后，CURL调用HTTPS API签名文件时出现OpenSSL capi_rsa_priv_enc不支持错误

看起来这个问题的核心是OpenSSL 3.0与1.1.1的兼容性差异，尤其是服务器端升级到OpenSSL 3.0.2后，和客户端Windows CAPI引擎的交互出现了算法支持冲突。我来帮你拆解可能的原因和解决办法：

一、先理解错误根源 #

capi_rsa_priv_enc:function not supported这个错误说明客户端的CAPI（Windows CryptoAPI）引擎在尝试用RSA私钥做加密/签名操作时，服务器端的OpenSSL 3.0环境不支持对应的操作或算法。OpenSSL 3.0引入了全新的提供者（Provider）机制，默认情况下可能禁用了一些旧算法或兼容性特性，而你的客户端CAPI引擎恰好依赖这些旧特性。

二、具体解决步骤 #

1. 启用OpenSSL 3.0的Legacy提供者

OpenSSL 3.0默认只启用default提供者，很多旧算法（比如某些RSA签名格式、兼容旧系统的加密算法）被移到了legacy提供者中。你需要修改服务器的openssl.cnf配置文件来启用它：

• 找到配置文件中的[provider_sect]部分（没有的话就新增），修改为：

[provider_sect]
default = default_sect
legacy = legacy_sect

[default_sect]
activate = 1

[legacy_sect]
activate = 1

• 保存后重启Apache服务：sudo systemctl restart apache2
  这个操作会让OpenSSL 3.0恢复对旧版本兼容算法的支持，大概率能解决CAPI引擎签名操作不被支持的问题。

2. 调整Apache的TLS配置，确保算法兼容性

虽然你尝试过禁用TLSv1.2/1.3，但可能需要更精细的密码套件配置，确保客户端CAPI支持的算法被包含：

• 打开Apache的ssl.conf或对应虚拟主机配置，修改以下参数：

# 保留客户端支持的TLS版本（Windows 2016原生支持TLSv1.2和TLSv1.3）
SSLProtocol TLSv1.2 TLSv1.3
# 包含兼容CAPI的密码套件，优先安全算法但保留旧RSA支持
SSLCipherSuite ECDHE-RSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:AES128-GCM-SHA256:AES256-GCM-SHA384:AES128-SHA256:AES256-SHA256
# 关闭密码套件排序，让客户端选择它支持的最优套件
SSLHonorCipherOrder Off

• 重启Apache后再次测试客户端请求。

3. 客户端侧的验证测试

为了排除客户端CAPI引擎本身的问题，可以先绕开CAPI测试连接：

• 尝试去掉--engine capi --key-type ENG参数，直接用本地的user.key文件（如果该密钥可以导出为本地文件的话）执行curl命令：

curl.exe --request POST --cacert "ca.crt" --cert "user.crt" --key "user.key" --verbose -L "https://webapi:port" --header "content-type: multipart/form-data" --form "file=@file.txt" --output "out_file.txt"

如果这个命令能成功，说明问题确实出在CAPI引擎和OpenSSL 3.0的交互上，你可以尝试：

• 更新客户端的OpenSSL版本到1.1.1的最新稳定版（比如1.1.1w），修复可能存在的CAPI兼容性bug；
• 检查客户端证书的密钥类型，确保是CAPI支持的格式（比如RSA 2048/4096位，避免使用EC密钥等CAPI可能不兼容的类型）。

4. 查看服务器端的详细日志

开启Apache的SSL调试日志，获取更多握手失败的细节：

• 在ssl.conf中添加或修改日志级别：

LogLevel debug ssl:debug

• 重启Apache后，查看/var/log/apache2/error.log，里面会有TLS握手过程中算法协商、证书验证的详细信息，能帮你定位具体是哪一步出了问题（比如服务器拒绝了客户端的证书算法，或者密钥交换算法不兼容）。

三、总结 #

最可能的解决办法是启用OpenSSL 3.0的Legacy提供者，这是OpenSSL 3.x与旧客户端/引擎兼容性问题的常见修复手段。如果还是不行，再结合日志和客户端测试进一步排查。

备注：内容来源于stack exchange，提问作者Manish Pandey