OpenSSL验证返回21错误：已装证书仍无法验证Exchange IMAP连接

• OpenSSL不默认读取Windows系统证书存储
  你安装到Windows「受信任的根证书颁发机构」「受信任发布者」的证书，OpenSSL命令行工具默认不会读取。它有独立的信任链查找逻辑，默认会去读取自身安装目录下的CA证书库（通常是certs文件夹里的ca-bundle.crt类文件），或者通过SSL_CERT_FILE/SSL_CERT_DIR环境变量指定的路径。

• 自签名CA证书未加入OpenSSL的信任池
  错误码20（unable to get local issuer certificate）和21（unable to verify the first certificate）的核心原因是：OpenSSL的信任池里没有能验证服务器证书的自签名CA。哪怕Windows系统已经信任这个CA，只要OpenSSL自己的信任链里没有，就会触发验证失败。

• 可行的解决方向

  • 命令行临时指定CA证书：在openssl s_client命令中加上-CAfile参数，直接指定自签名CA证书的路径，示例：

    C:\Users\Administrator>"C:\Program Files\OpenSSL-Win64\bin\openssl.exe" s_client -connect server:993 -showcerts -CAfile "C:\你的CA证书路径\self-signed-ca.crt"
    

  • 把CA证书加入OpenSSL默认信任库：找到OpenSSL安装目录下的certs文件夹（比如C:\Program Files\OpenSSL-Win64\certs），将自签名CA证书复制进去，然后运行同目录下的c_rehash.exe工具生成哈希链接，让OpenSSL能自动识别该CA证书。
  • 通过环境变量指定信任路径：设置系统环境变量SSL_CERT_FILE指向你的自签名CA证书文件，或者SSL_CERT_DIR指向存放CA证书的目录，这样所有OpenSSL命令行工具都会默认读取这个路径下的信任证书。

内容的提问来源于stack exchange，提问作者Yanick