Azure App Service中Rust容器应用出站HTTPS请求遇证书验证错误

这个错误的核心是容器内缺少验证目标服务器（Twilio）证书所需的根CA证书，和Azure托管证书无关——托管证书仅负责你的App Service入站HTTPS的身份认证，不影响出站请求的证书验证逻辑。

以下是具体排查和解决步骤：

• 检查容器基础镜像的CA证书安装情况
  Rust的reqwest默认依赖系统级CA证书链，如果你的容器基础镜像（比如Alpine、Debian/Ubuntu）未安装完整的CA证书包，就会出现验证失败：

  • 若使用Alpine镜像，确保Dockerfile中添加：RUN apk add --no-cache ca-certificates
  • 若使用Debian/Ubuntu镜像，添加：RUN apt-get update && apt-get install -y --no-install-recommends ca-certificates && rm -rf /var/lib/apt/lists/*

• 确认reqwest的TLS后端配置
  reqwest有两种TLS后端，需根据使用情况调整：

  • 默认的native-tls依赖系统CA，确保镜像内CA证书完整即可
  • 若使用rustls后端，需在Cargo.toml中启用rustls-native-certs特性，让它自动加载系统CA证书：

    reqwest = { version = "0.11", features = ["rustls-native-certs"] }
    

• 手动指定CA证书（备选方案）
  若上述方法无效，可手动引入Mozilla根CA包：

  1. 将根CA文件（如cacert.pem）放置到容器内固定路径（例如/etc/ssl/certs/cacert.pem）
  2. 容器启动时设置环境变量：SSL_CERT_FILE=/etc/ssl/certs/cacert.pem，让reqwest读取该证书文件完成验证

内容的提问来源于stack exchange，提问作者LukasDeco