Windows系统下OpenSSL证书验证失败问题求助

问题分析 #

你遇到的certificate verify failed错误核心原因是证书信任链不完整，或者程序无法正确加载到能验证服务器证书的信任证书集合：

• 仅加载根证书不足以完成验证：服务器返回的证书链通常包含服务器证书、中间证书，最终由根证书签发。如果只提供根证书，OpenSSL无法完成整个链的验证。
• Windows系统证书存储与OpenSSL默认信任库不互通：OpenSSL默认不会自动使用Windows的certmgr.msc中的证书，需要手动配置或指定。

解决方案 #

方案1：获取完整的服务器证书链 #

在Windows环境下，使用OpenSSL自带的bin/openssl.exe执行以下命令，获取包含所有中间证书的完整链：

openssl s_client -connect www.random.org:443 -showcerts <NUL | findstr /B /E "-----BEGIN CERTIFICATE-----" "-----END CERTIFICATE-----" > random-org-full-chain.pem

这个命令会捕获服务器返回的所有证书（包括中间证书和根证书），保存到random-org-full-chain.pem中。

然后修改代码中的SSL_CTX_load_verify_locations调用，建议使用绝对路径避免路径问题：

res = SSL_CTX_load_verify_locations(ctx, "C:\\your\\full\\path\\to\\random-org-full-chain.pem", NULL);

方案2：让OpenSSL使用Windows系统信任库 #

无需手动获取证书，直接让OpenSSL加载Windows系统的根证书集合，替换代码中的证书加载部分：
将

res = SSL_CTX_load_verify_locations(ctx, "random-org-chain.pem", NULL);
if (res != 1) handleFailure("verify locations");

改为

// 加载系统默认的信任证书路径（包括Windows根证书）
res = SSL_CTX_set_default_verify_paths(ctx);
if (res != 1) handleFailure("set default verify paths");

这样OpenSSL会自动查找并使用系统信任的根证书，无需手动管理证书文件。

修复代码中的逻辑错误 #

你的代码中存在证书判断的逻辑错误，释放证书后再判断指针会导致误判：

// 错误代码
X509 *cert = SSL_get_peer_certificate(ssl);
if (cert) X509_free(cert);
if (cert == NULL) handleFailure("get peer cert");

修改为：

// 正确逻辑
X509 *cert = SSL_get_peer_certificate(ssl);
if (cert == NULL) {
    handleFailure("get peer cert");
} else {
    X509_free(cert);
}

额外调试建议 #

• 编译时添加调试信息：在编译命令中加入-g参数，方便后续用GDB调试：

  gcc -g -x c -std=c99 -Wall -Wextra -Werror main.cpp -L'C:\Program Files\OpenSSL-Win64\lib' -lssl -lcrypto -I'C:\Program Files\OpenSSL-Win64\include'
  

• 使用OpenSSL命令行测试连接：先通过命令行确认证书链是否正常：

  openssl s_client -connect www.random.org:443 -CAfile random-org-full-chain.pem
  

  如果命令行能成功验证，说明证书文件没问题，再排查代码中的路径或逻辑问题。

内容的提问来源于stack exchange，提问作者tvanbesi