Node.js HTTPS库连接带ESET SSL Filter CA证书网站失败原因咨询

Node.js的https库连接失败，本质是TLS证书验证不通过，具体原因通常有以下几种：

• ESET SSL Filter CA不在Node.js默认信任池中
  Node.js默认采用Mozilla维护的根证书集合，ESET的SSL过滤证书属于企业级自定义根CA，不在这个默认集合里。当https库验证目标网站的证书链时，会因为找不到可信的根CA而判定证书无效，拒绝建立连接。

• 系统信任存储未正确加载ESET CA，或Node.js未读取系统证书
  即便你在操作系统（Windows/macOS/Linux）里安装了ESET的CA证书，部分Node.js版本默认不会自动读取系统的信任证书存储，导致https库依然无法识别该CA。

• 证书链不完整
  ESET SSL过滤会替换目标网站的证书，但如果中间证书没有被正确传递，Node.js无法构建完整的可信证书链，进而触发验证失败。

• 代理配置不匹配
  如果ESET开启了HTTPS代理过滤功能，你的Node.js请求未配置使用该代理，会导致连接时获取到的证书与预期不符，最终验证失败。

不要使用NODE_TLS_REJECT_UNAUTHORIZED="0"（会完全禁用证书验证，极易遭受中间人攻击），推荐以下安全做法：

• 手动指定ESET CA证书
  在https请求的配置中直接传入ESET的CA证书内容，或者通过环境变量全局配置：

  const fs = require('fs');
  const https = require('https');
  
  // 读取ESET CA证书文件
  const esetCa = fs.readFileSync('/path/to/eset-ssl-filter-ca.pem');
  
  // 发起请求时指定CA
  https.get('https://your-target-site.com', {
    ca: [esetCa]
  }, (response) => {
    // 处理响应逻辑
  });
  

  全局配置可设置环境变量：NODE_EXTRA_CA_CERTS="/path/to/eset-ssl-filter-ca.pem"

• 让Node.js使用系统信任证书
  部分Node.js版本支持通过--use-openssl-ca参数，让Node.js读取系统的OpenSSL证书存储。如果系统已正确安装ESET CA，可通过环境变量开启：NODE_OPTIONS="--use-openssl-ca"

内容的提问来源于stack exchange，提问作者Kilian Hertel