创建Apple Pay Web支付会话时遭遇SSL证书错误求助

问题重现 #

执行以下curl请求获取Apple Pay支付会话时：

curl -v --data '{"merchantIdentifier":"merchant.com.*****", "displayName":"******", "initiative": "web", "initiativeContext": "domain.com"}' -H "Content-Type: application/json" -X POST --cert /path-to-certs/merchant-identifier.key https://apple-pay-gateway.apple.com/paymentservices/paymentSession

收到错误：

* LibreSSL SSL_read: error:1404C418:SSL routines:ST_OK:tlsv1 alert unknown ca, errno 0
curl: (56) LibreSSL SSL_read: error:1404C418:SSL routines:ST_OK:tlsv1 alert unknown ca, errno 0

核心原因 #

该错误表明Apple支付网关无法识别你提供的客户端证书的签发CA，本质是客户端证书的信任链不完整，或者证书/私钥的使用方式错误。

排查与修复步骤 #

• 修正curl证书参数的使用方式：
  curl的--cert参数需要指向包含商户证书的PEM格式文件，如果你的merchant-identifier.key仅为私钥文件，会直接触发错误。正确用法分为两种：

  • 证书与私钥分开存储时，同时使用--cert指定证书文件、--key指定私钥文件：

    curl -v --data '{"merchantIdentifier":"merchant.com.*****", "displayName":"******", "initiative": "web", "initiativeContext": "domain.com"}' -H "Content-Type: application/json" -X POST --cert /path-to-certs/merchant-cert.pem --key /path-to-certs/merchant-private.key https://apple-pay-gateway.apple.com/paymentservices/paymentSession
    

  • 合并存储时，将商户证书、中间CA证书、私钥按顺序合并到同一个PEM文件中，再用--cert指定该文件。

• 补全证书信任链：
  从Apple开发者后台下载的商户证书，必须搭配对应的Apple Pay中间CA证书（Apple Pay Payment Processing CA）使用，将中间CA证书内容追加到商户证书的PEM文件末尾，形成完整的信任链，确保Apple网关能验证证书合法性。

• 验证证书与商户ID的匹配性：
  确认当前使用的证书是为请求中的merchantIdentifier在Apple开发者后台生成的，且证书未过期、状态正常。

• 检查域名绑定状态：
  确保initiativeContext中的domain.com已在Apple开发者后台完成验证，且与当前商户ID绑定。

内容的提问来源于stack exchange，提问作者jackquin