出现x509: certificate signed by unknown authority错误，求证书问题解决方法

问题分析 #

你遇到的x509: certificate signed by unknown authority错误，本质是CI运行环境缺少目标服务的根CA证书，导致系统无法验证服务SSL证书的有效性。之前尝试的命令仅完成了证书复制，未确保证书被正确添加到系统信任链，或证书路径、更新逻辑存在问题。

具体修复方案 #

1. 确认证书存放路径适配镜像系统 #

不同Linux发行版的CA证书目录不同：

• Debian/Ubuntu系镜像：/usr/local/share/ca-certificates/（你当前使用的路径）
• RHEL/CentOS系镜像：/etc/pki/ca-trust/source/anchors/

如果你的CI镜像属于RHEL/CentOS类，之前的路径完全错误，需先调整目标目录。

2. 完整导入证书并更新信任链 #

不要仅复制证书，需确保证书被纳入系统信任库并刷新缓存：

# 假设自定义CA证书在项目根目录的certs文件夹下，先复制到对应系统目录
cp ./certs/your-custom-ca.crt /usr/local/share/ca-certificates/
# Debian/Ubuntu系更新证书缓存
update-ca-certificates
# RHEL/CentOS系用以下命令更新
update-ca-trust extract

3. 在GitLab CI的before_script中完善配置 #

修改.gitlab-ci.yml的before_script，确保证书工具和导入流程完整：

before_script:
  - apt-get update && apt-get install -y ca-certificates  # 确保证书管理工具已安装
  - cp ./path/to/your-ca.crt /usr/local/share/ca-certificates/
  - update-ca-certificates

4. 验证证书是否成功加载 #

可在CI脚本中添加验证命令，确认证书已加入系统信任列表：

# 查看系统信任的所有证书主题信息
awk -v cmd='openssl x509 -noout -subject' '/BEGIN/{close(cmd)};{print | cmd}' < /etc/ssl/certs/ca-certificates.crt

5. 临时跳过证书验证（仅测试用，不推荐生产环境） #

若需临时测试服务连通性，可在调用服务时添加跳过验证参数：

# curl命令跳过证书验证
curl -k https://your-target-service.com
# Go项目临时跳过验证
GODEBUG=x509ignoreCN=1 go run main.go

内容的提问来源于stack exchange，提问作者Илез Курскиев