mosquitto_pub连接MQTTS服务器遇Unknown CA错误，如何跳过证书校验？

问题根源 #

--insecure参数仅用于跳过服务器证书与主机名的匹配校验，不会绕过CA证书的信任验证。你之前导入证书到系统证书池后问题依旧，大概率是因为mosquitto并未读取该系统证书池，或者你抓取的只是服务器端证书而非根CA证书。

可行解决方案 #

方案1：直接指定信任的CA证书（推荐，安全合规） #

mosquitto支持通过--cafile参数直接指定要信任的CA证书文件，无需依赖系统证书池：

1. 抓取服务器完整证书链（包含根CA）：

openssl s_client -showcerts -connect example.com:8883 </dev/null 2>/dev/null | awk '/-----BEGIN CERTIFICATE-----/,/-----END CERTIFICATE-----/' > server-ca-chain.pem

2. 执行发布命令时指定该证书文件：

mosquitto_pub -h example.com -p 8883 -t "TOPIC" -m "message" -u "USER" -P "PASSWORD" --cafile server-ca-chain.pem

方案2：完全跳过证书校验（仅限测试场景，禁止生产使用） #

若仅用于临时测试，可通过以下命令完全跳过所有证书验证逻辑：

mosquitto_pub -h example.com -p 8883 -t "TOPIC" -m "message" -u "USER" -P "PASSWORD" --insecure --cafile /dev/null

部分旧版本mosquitto可替换为：

mosquitto_pub -h example.com -p 8883 -t "TOPIC" -m "message" -u "USER" -P "PASSWORD" --insecure --capath /dev/null

方案3：让mosquitto读取系统证书池 #

如果坚持使用系统证书池，需确认mosquitto的默认CA路径是否指向系统证书目录：

1. 查看mosquitto默认CA路径：

mosquitto --help | grep -A2 -B2 cafile

2. 若默认路径不符，执行命令时通过--capath指定系统证书目录：

mosquitto_pub -h example.com -p 8883 -t "TOPIC" -m "message" -u "USER" -P "PASSWORD" --capath /etc/ssl/certs/

内容的提问来源于stack exchange，提问作者python3.789