OSSL_DECODER_from_bio返回false：OpenSSL API加载PEM证书失败求助

我在使用OpenSSL API加载PEM证书时遇到问题，以下是我的代码：

EVP_PKEY* CryptoModule::load_key(OSSL_LIB_CTX* libctx, const char* passphrase)
{
    auto *b = BIO_new_file(our_pub_cert_file.toStdString().c_str(), "r");
   
    OSSL_DECODER_CTX* dctx = nullptr;
    EVP_PKEY* pkey = nullptr;

    dctx = OSSL_DECODER_CTX_new_for_pkey(&pkey, nullptr, nullptr, "RSA",
                                         0, libctx, nullptr);
    if ( nullptr != passphrase )
        OSSL_DECODER_CTX_set_passphrase(dctx, reinterpret_cast<const unsigned char*>(passphrase), strlen(passphrase));

    std::ignore = OSSL_DECODER_from_bio(dctx, b);
    OSSL_DECODER_CTX_free(dctx);

    return pkey;
}

已知条件： #

• 通过BIO_new_file打开的是一份有效的RSA加密SHA256 2048位证书，该证书在命令行中可正常使用。
• our_pub_cert_file为包含完整路径的QString，已通过QFile::exists()验证路径有效。
• 已尝试以下几种参数调用OSSL_DECODER_CTX_new_for_pkey，但OSSL_DECODER_from_bio仍返回false：
  1. OSSL_DECODER_CTX_new_for_pkey(&pkey, "PEM", nullptr, "RSA", 0, libctx, nullptr);
  2. OSSL_DECODER_CTX_new_for_pkey(&pkey, "PEM", "SubjectPublicKeyInfo", "RSA", EVP_PKEY_PUBLIC_KEY, libctx, nullptr);
  3. OSSL_DECODER_CTX_new_for_pkey(&pkey, "PEM", nullptr, "RSA", EVP_PKEY_PUBLIC_KEY, libctx, nullptr);

可能的问题及解决方向 #

1. 混淆了「证书文件」和「密钥文件」的加载逻辑 #

当前代码试图直接用OSSL_DECODER加载证书文件，但OSSL_DECODER_CTX_new_for_pkey的设计目标是加载密钥数据（比如单独的公钥/私钥PEM块），而非完整的X509证书。

证书的PEM块格式是-----BEGIN CERTIFICATE-----，而密钥的PEM块是-----BEGIN PUBLIC KEY-----或-----BEGIN RSA PRIVATE KEY-----，解码器无法识别证书格式，因此返回失败。

正确流程是先加载证书为X509对象，再从中提取公钥：

EVP_PKEY* CryptoModule::load_key(OSSL_LIB_CTX* libctx, const char* passphrase)
{
    auto *b = BIO_new_file(our_pub_cert_file.toStdString().c_str(), "r");
    if (b == nullptr) {
        ERR_print_errors_fp(stderr);
        return nullptr;
    }

    // 加载X509证书
    X509* cert = PEM_read_bio_X509(b, nullptr, nullptr, nullptr);
    BIO_free(b);
    
    if (cert == nullptr) {
        ERR_print_errors_fp(stderr);
        return nullptr;
    }

    // 从证书提取公钥
    EVP_PKEY* pkey = X509_get_pubkey(cert);
    X509_free(cert);

    return pkey;
}

2. 未检查BIO打开是否成功 #

BIO_new_file可能因权限不足、QString转std::string的编码问题、文件实际损坏等原因打开失败，代码中没有错误检查会导致后续操作无意义，必须添加有效性判断并打印错误信息。

3. 不必要的passphrase参数干扰 #

公钥证书和公钥文件几乎不会设置密码，传入passphrase会让解码器尝试解密不存在的加密层，导致失败。建议移除该逻辑，除非确认证书确实被加密（此场景极罕见）。

4. 未捕获OpenSSL错误栈信息 #

OSSL_DECODER_from_bio返回false时，OpenSSL错误栈会存储详细失败原因（比如「找不到匹配解码器」「格式不匹配」），添加错误打印代码可直接定位问题：

if (!OSSL_DECODER_from_bio(dctx, b)) {
    ERR_print_errors_fp(stderr);
}

内容的提问来源于stack exchange，提问作者Thomas P.