如何修改C++ WS_SSL代码支持CA公钥证书解决SSL通信错误

核心问题 #

你遇到的错误源于对证书用途的混淆：

• 原代码配置的是客户端身份认证证书：这类证书必须包含私钥，用于向服务器证明客户端身份。
• 你尝试使用的CA公钥证书是信任根证书：仅用于验证服务器证书的合法性（确认服务器证书由可信CA签发），本身没有私钥，无法作为客户端身份凭证使用。

修改方案 #

根据你的实际需求选择对应方案：

方案1：仅验证服务器证书（无需客户端身份认证） #

如果服务器不要求客户端提供身份证书，只需验证服务器证书是CA签发的合法证书，直接移除客户端证书相关配置即可：

WS_SSL_TRANSPORT_SECURITY_BINDING sslBinding = {}; // 初始化结构体
sslBinding.binding.bindingType = WS_SSL_TRANSPORT_SECURITY_BINDING_TYPE;

// 不需要设置localCertCredential，因为无需客户端身份认证

// 初始化安全绑定数组
WS_SECURITY_BINDING* securityBindings[1] = { &sslBinding.binding };

同时确保CA公钥证书已导入到系统的受信任的根证书颁发机构存储（当前用户或本地计算机目录），系统会自动用它验证服务器证书。

方案2：服务器要求客户端身份认证，同时信任CA签发的服务器证书 #

如果服务器既需要客户端身份认证，又需要验证服务器证书的CA信任链：

1. 仍需使用带私钥的客户端证书完成身份认证（CA证书无法替代）
2. 可通过代码配置信任根CA，或确保CA证书已在系统信任存储中

WS_SSL_TRANSPORT_SECURITY_BINDING sslBinding = {};
sslBinding.binding.bindingType = WS_SSL_TRANSPORT_SECURITY_BINDING_TYPE;

// 配置带私钥的客户端身份证书（必须保留）
static const WS_STRING certStore = WS_STRING_VALUE(L"My");
static const WS_STRING certSubjectName = WS_STRING_VALUE(L"CN=client.com");

WS_SUBJECT_NAME_CERT_CREDENTIAL certBySubject;
certBySubject.credential.credentialType = WS_SUBJECT_NAME_CERT_CREDENTIAL_TYPE;
certBySubject.storeLocation = CERT_SYSTEM_STORE_CURRENT_USER;
certBySubject.storeName = certStore;
certBySubject.subjectName = certSubjectName;
sslBinding.localCertCredential = &certBySubject.credential;

// 可选：代码中指定信任的CA根证书（若未导入系统存储）
// 示例：从系统根存储加载CA证书（实际可从文件读取）
PCCERT_CONTEXT caCertContext = CertOpenSystemStore(NULL, L"Root");
// 假设已获取目标CA证书的PCCERT_CONTEXT

WS_CERT_CHAIN_POLICY certChainPolicy = {};
certChainPolicy.policyType = WS_CERT_CHAIN_POLICY_TYPE_SSL;
certChainPolicy.sslPolicy.flags = WS_SSL_CERT_CHAIN_POLICY_FLAG_TRUST_ROOT;
certChainPolicy.sslPolicy.trustedRootCertificates = caCertContext;
sslBinding.certChainPolicy = &certChainPolicy;

// 初始化安全绑定数组
WS_SECURITY_BINDING* securityBindings[1] = { &sslBinding.binding };

关键说明 #

• CA公钥证书的正确作用是作为信任锚，验证服务器证书的合法性，不能用于客户端身份认证。
• 若服务器强制要求客户端身份认证，必须使用包含私钥的客户端证书（通常由CA签发的客户端证书），否则会触发“客户端证书中无可用凭据”错误。

内容的提问来源于stack exchange，提问作者ShreeHarsha