PHP7.0+xenForo环境下SMTP邮件发送SSL证书验证失败求助

针对你遇到的SSL证书验证失败导致SMTP无法连接的问题，以下是无需禁用证书验证的排查和修复步骤：

1. 确认PHP配置是否生效 #

• 执行phpinfo()，查看当前生效的openssl.cafile和curl.cainfo路径，确保指向你下载的cacert.pem文件
• 注意：Apache运行的PHP和CLI版PHP可能使用不同的php.ini，需分别检查
• 可在测试脚本中强制指定证书路径，排除配置未生效的影响：

<?php
ini_set('display_errors', true);
$context = stream_context_create([
    'ssl' => [
        'cafile' => '/绝对路径/cacert.pem',
        'verify_peer' => true,
        'verify_peer_name' => true
    ]
]);
var_dump(stream_socket_client('ssl://DOMAIN_TO_MAILSERVER:465', $errno, $errstr, 30, STREAM_CLIENT_CONNECT, $context));
echo "错误码: $errno\n错误信息: $errstr\n";

2. 检查邮件服务器证书链完整性 #

• 在服务器上执行命令：

openssl s_client -connect DOMAIN_TO_MAILSERVER:465 -showcerts

• 查看输出中的证书链，确认是否存在中间证书缺失（通常会提示unable to get local issuer certificate）
• 若缺失中间证书，将其追加到cacert.pem文件末尾，或联系邮件服务器管理员修复证书链配置

3. 验证PHP与邮件服务器的SSL/TLS协议兼容性 #

• PHP7.0默认可能禁用了旧版TLS协议，若邮件服务器仅支持TLS1.0/TLS1.1，需在上下文配置中允许这些协议：

$context = stream_context_create([
    'ssl' => [
        // 其他配置...
        'crypto_method' => STREAM_CRYPTO_METHOD_TLSv1_2_CLIENT | STREAM_CRYPTO_METHOD_TLSv1_1_CLIENT | STREAM_CRYPTO_METHOD_TLSv1_CLIENT,
    ]
]);

4. 检查证书文件权限与域名匹配 #

• 确保cacert.pem的权限为644，且归属为Apache运行用户（如www-data:www-data），避免PHP无法读取文件
• 确认DOMAIN_TO_MAILSERVER与邮件服务器证书的**通用名称(CN)或主题备用名称(SAN)**完全一致，域名大小写、子域名差异都会导致验证失败

5. 修复SNI兼容性问题 #

• 部分旧版PHP7.0对服务器名称指示(SNI)支持存在bug，需手动指定SNI：

$context = stream_context_create([
    'ssl' => [
        // 其他配置...
        'SNI_server_name' => 'DOMAIN_TO_MAILSERVER',
    ]
]);

内容的提问来源于stack exchange，提问作者René