PHP证书认证调用外部API遇SSL错误，请求解决

问题分析 #

Postman能正常请求但PHP CURL报错，核心原因是证书链不完整或证书配置不符合OpenSSL/CURL的要求——Postman会自动处理部分证书链补全，而PHP CURL需要明确提供完整的信任链。

解决步骤 #

1. 合并完整的证书链 #

将你的用户证书（mywebsite.crt）和CA证书（Secure_Server_CA.crt）合并成一个PEM文件，CURL要求客户端证书包含从自身到根CA的完整信任链：

cat mywebsite.crt Secure_Server_CA.crt > full_chain.pem

之后在代码中使用这个合并后的文件作为CURLOPT_SSLCERT的参数。

2. 验证证书与私钥的匹配性 #

确保private_key.key和mywebsite.crt是配对的，执行以下命令验证：

# 获取证书的模数哈希
openssl x509 -noout -modulus -in mywebsite.crt | openssl md5
# 获取私钥的模数哈希
openssl rsa -noout -modulus -in private_key.key | openssl md5

两个命令的输出必须完全一致，否则说明证书和私钥不匹配，需要重新获取正确的配对文件。

3. 修正CURL配置代码 #

使用合并后的证书链，同时确保所有选项配置正确：

$curl = curl_init('https://your-api-url.com');

// 使用合并后的完整证书链
curl_setopt($curl, CURLOPT_SSLCERT, __DIR__ . '/ssl/full_chain.pem');
curl_setopt($curl, CURLOPT_SSLKEY, __DIR__ . '/ssl/private_key.key');
// 如果私钥设置了密码，添加以下行（替换为实际密码）
// curl_setopt($curl, CURLOPT_SSLKEYPASSWD, 'your-private-key-password');
// 明确指定证书类型为PEM
curl_setopt($curl, CURLOPT_SSLCERTTYPE, 'PEM');
// 指定CA证书（合并后的链已包含CA时可保留，也可省略）
curl_setopt($curl, CURLOPT_CAINFO, __DIR__ . '/ssl/Secure_Server_CA.crt');

// 保留SSL验证（不要关闭，避免安全风险）
curl_setopt($curl, CURLOPT_SSL_VERIFYPEER, true);
curl_setopt($curl, CURLOPT_SSL_VERIFYHOST, 2);

curl_setopt($curl, CURLOPT_RETURNTRANSFER, true);
$response = curl_exec($curl);

if($response === false) {
    echo 'Curl error: ' . curl_error($curl);
} else {
    echo 'API Response: ' . $response;
}

curl_close($curl);

4. 检查证书格式（可选） #

如果证书不是PEM格式（比如DER），需要转换为PEM：

# 转换用户证书为PEM
openssl x509 -in mywebsite.crt -out mywebsite.pem -outform PEM
# 转换CA证书为PEM
openssl x509 -in Secure_Server_CA.crt -out Secure_Server_CA.pem -outform PEM

转换后再执行证书链合并步骤。

常见问题排查 #

• 若仍报错unable to get local issuer certificate，检查CA证书是否为根CA，或是否缺少中间CA证书（Postman可能自动获取了中间CA，而你本地未配置）。
• 确保证书文件权限正确，PHP进程需要能读取这些文件（设置可读权限，比如chmod 644 ssl/*.pem）。

内容的提问来源于stack exchange，提问作者Mehreen