curl不认可Firefox信任的证书问题求助

核心差异点 #

1. CA证书的来源渠道不同 #

• 浏览器（Edge、Firefox等）自带独立的内置根CA证书库，其中已经预先包含了Entrust L1K这类主流商业根证书，完全不依赖系统或用户本地的证书存储，因此能直接完成信任链验证。
• curl默认依赖系统级CA证书库：
  • Linux系统下通常是/etc/ssl/certs目录中的证书集合
  • Windows系统下默认读取系统证书存储，但部分curl版本（比如便携版）可能未配置此逻辑
    若你的系统本地未安装Entrust L1K根证书，curl就找不到信任链的顶端，触发无法获取本地颁发者证书(20)错误。你下载的curl官方CA pem文件中恰好未包含该根证书，因此使用--cacert指定后仍无法通过验证。

2. 证书链验证逻辑的灵活性不同 #

• 浏览器在证书验证时，会尝试自动补充服务器返回证书链中缺失的中间证书，对于内置库中已有的根证书，直接匹配完成验证，逻辑更灵活包容。
• curl的验证逻辑更严格：默认仅依赖指定的CA库（系统库或--cacert文件）构建信任链，若链中缺少根证书则直接返回验证失败，不会主动去补充或下载缺失的证书。

3. Windows平台的特殊适配差异 #

Edge作为Chromium内核浏览器，除了自带CA库，还会同步Windows系统的受信任根证书；但curl在Windows下若使用未配置的版本，可能不会自动读取Windows系统证书存储，仅依赖自带或手动指定的CA文件，这也会导致与浏览器的信任结果不一致。

内容的提问来源于stack exchange，提问作者Peter Bonham