Libcurl证书缓存未生效：CApath导致缓存条件不满足的原因及解决方法

为什么CApath会阻碍证书缓存？ #

从你贴出的Libcurl源码缓存条件判断代码可以看出，缓存生效的前提是所有条件同时满足：

cache_criteria_met = (data->set.general_ssl.ca_cache_timeout != 0) &&
           conn_config->verifypeer &&
           !conn_config->CApath &&
           !conn_config->ca_info_blob &&
           !ssl_config->primary.CRLfile &&
           !ssl_config->native_ca_store;

其中!conn_config->CApath要求不能设置CApath路径，这是因为CApath指向的是存放多个独立CA证书文件的目录：

• Libcurl无法实时监控该目录下的文件变更（比如证书新增、删除或更新）
• 如果缓存了证书验证结果，后续目录内的证书变化会导致验证逻辑失效，引发安全问题
  因此Libcurl的设计逻辑里，只要指定了CApath，就会直接跳过证书缓存。

如何启用证书缓存？ #

针对你的场景（Ubuntu + OpenSSL 3 + Libcurl），可以通过以下方式解决：

• 改用CAfile替代CApath：
  1. 将系统CA目录下的所有证书合并到单个文件中，执行命令：

     cat /etc/ssl/certs/*.pem > /path/to/ca-bundle.crt
     

  2. 在你的代码中设置CURLOPT_CA_FILE指向这个合并后的证书文件，不再设置CURLOPT_CAPATH
  3. 确保其他缓存条件满足：设置CURLOPT_CACHE_TIMEOUT（对应源码里的ca_cache_timeout）不为0，且CURLOPT_SSL_VERIFYPEER设置为true
• 注意：如果必须保留CApath的使用方式，当前Libcurl的官方逻辑不支持启用证书缓存，修改源码调整缓存条件会带来安全风险，不推荐。

内容的提问来源于stack exchange，提问作者Alex