OpenSSL C客户端无法验证服务器SSL证书问题求助

常见原因及修复方案 #

1. 客户端CA证书加载错误 #

客户端必须正确配置CA证书的加载路径或文件，否则无法验证服务器证书的合法性：

• 如果使用CA证书目录，需确保目录经过c_rehash生成哈希链接（OpenSSL要求目录格式），并在代码中正确调用：

  if (SSL_CTX_load_verify_locations(ctx, NULL, "/caroot") != 1) {
      ERR_print_errors_fp(stderr);
      exit(EXIT_FAILURE);
  }
  

• 如果使用单个CA证书文件，将证书路径作为第一个参数传入，第二个参数设为NULL。

2. 未启用强制证书验证模式 #

客户端需要显式开启服务器证书验证，默认可能不强制验证：

// 强制验证服务器证书
SSL_CTX_set_verify(ctx, SSL_VERIFY_PEER, NULL);
// 设置证书链验证深度，确保完整校验
SSL_CTX_set_verify_depth(ctx, 1);

3. 服务器证书SAN字段不匹配 #

服务器证书的**主题备用名称（SAN）**必须包含客户端连接时使用的IP或域名。如果客户端用IP连接但证书SAN无对应条目，会直接验证失败：

• 检查证书SAN字段：

  openssl x509 -in server.crt -text -noout | grep -A 3 "Subject Alternative Name"
  

  确认输出包含客户端连接的目标地址（如IP:192.168.1.100或DNS:server.example.com）。

4. 服务器证书链或有效期问题 #

• 检查服务器证书有效期：

  openssl x509 -in server.crt -text -noout | grep -A 2 "Validity"
  

• 验证服务器证书链完整性：

  openssl verify -CApath /caroot server.crt
  

  若输出非OK，需补充完整的中间证书链。

5. 握手后未主动校验验证结果 #

在SSL_connect完成后，主动获取验证结果，能得到更精准的错误信息：

if (SSL_connect(ssl) <= 0) {
    ERR_print_errors_fp(stderr);
} else {
    long verify_result = SSL_get_verify_result(ssl);
    if (verify_result != X509_V_OK) {
        printf("Verification failed: %s\n", X509_verify_cert_error_string(verify_result));
    } else {
        printf("Verification success\n");
    }
}

内容的提问来源于stack exchange，提问作者Cyborg