UWP C++/WinRT空白应用调用SSL_use_certificate_file遇IO错误求解决

核心原因 #

UWP沙箱限制了标准C++文件API（包括OpenSSL底层依赖的fopen/ifstream等）的访问范围，仅允许访问应用安装目录、应用数据目录，以及通过StorageFile授权的文件。直接传入外部文件路径会触发权限拦截，导致I/O错误。

解决方案 #

方案1：内存加载证书（通用适配所有文件场景） #

绕开直接文件路径读取，先用UWP的StorageFile API读取证书内容到内存，再通过OpenSSL的内存加载函数导入证书。支持PEM和DER格式：

步骤：

1. 通过StorageFile获取证书文件（可通过文件选择器、应用目录路径等方式）
2. 读取文件内容到字节数组
3. 用OpenSSL的BIO内存对象解析PEM证书，或直接用ASN1接口加载DER证书

代码示例：

#include <winrt/Windows.Storage.h>
#include <winrt/Windows.Storage.Streams.h>
#include <openssl/ssl.h>
#include <openssl/x509.h>
#include <openssl/bio.h>
#include <openssl/err.h>

using namespace winrt;
using namespace Windows::Storage;
using namespace Windows::Storage::Streams;

IAsyncAction LoadCertificateToSSLAsync(SSL* sslInstance, StorageFile certFile)
{
    // 读取证书文件到IBuffer
    IBuffer certBuffer = co_await FileIO::ReadBufferAsync(certFile);
    std::vector<unsigned char> certBytes(certBuffer.Length());
    DataReader reader(certBuffer);
    reader.ReadBytes(certBytes);

    // 先尝试PEM格式解析
    BIO* memBio = BIO_new_mem_buf(certBytes.data(), static_cast<int>(certBytes.size()));
    if (memBio)
    {
        X509* cert = PEM_read_bio_X509(memBio, nullptr, nullptr, nullptr);
        BIO_free(memBio);

        if (cert)
        {
            if (SSL_use_certificate(sslInstance, cert) != 1)
            {
                ERR_print_errors_fp(stderr);
            }
            X509_free(cert);
            co_return;
        }
    }

    // PEM解析失败，尝试DER格式加载
    if (SSL_use_certificate_ASN1(sslInstance, static_cast<int>(certBytes.size()), certBytes.data()) != 1)
    {
        ERR_print_errors_fp(stderr);
    }
}

方案2：使用应用安装目录的证书（仅适用于应用自带证书） #

如果证书是应用打包时自带的资源，可将其放入应用安装目录（UWP允许标准文件API访问此目录），直接通过拼接路径调用SSL_use_certificate_file：

步骤：

1. 将证书文件添加到项目中，设置属性为「内容」= 是，「复制到输出目录」= 如果较新则复制
2. 获取应用安装目录路径，拼接证书文件名
3. 将宽路径转成UTF-8（OpenSSL在Windows下默认使用UTF-8路径）后传入函数

代码示例：

#include <winrt/Windows.ApplicationModel.h>
#include <openssl/ssl.h>
#include <openssl/err.h>

using namespace winrt;
using namespace Windows::ApplicationModel;

bool LoadEmbeddedCertToSSL(SSL* sslInstance)
{
    // 获取应用安装目录路径
    hstring installDir = Package::Current().InstalledLocation().Path();
    std::wstring certFullPath = installDir.c_str();
    certFullPath += L"\\my_certificate.pem"; // 替换为你的证书文件名

    // 转换为OpenSSL支持的UTF-8路径
    std::string utf8Path = winrt::to_string(certFullPath);
    
    int result = SSL_use_certificate_file(sslInstance, utf8Path.c_str(), SSL_FILETYPE_PEM);
    if (result != 1)
    {
        ERR_print_errors_fp(stderr);
        return false;
    }
    return true;
}

注意事项 #

• 若处理用户选择的外部证书，必须使用方案1，因为UWP沙箱不允许标准API直接访问用户文件系统的其他路径
• 使用OpenSSL后记得调用ERR_print_errors_fp打印错误信息，便于排查具体问题

内容的提问来源于stack exchange，提问作者acebelowzero