Linux下用C实现OpenSSL证书续期命令自动填充字段的方法

你用system()执行OpenSSL命令时没法处理交互式输入，是因为system()只是启动shell执行命令，无法直接控制子进程的标准输入。下面是几种可行的解决方案：

1. 使用OpenSSL配置文件（最可靠） #

OpenSSL的多数交互式命令（比如openssl req生成CSR）支持通过-config参数指定预配置文件，完全跳过交互步骤。

步骤： #

• 编写自定义配置文件（比如ssl_config.cnf），把需要填充的字段提前写好：

[req]
prompt = no
default_bits = 2048
default_md = sha256
distinguished_name = dn

[dn]
C = CN
ST = Beijing
L = Beijing
O = MyCompany
OU = DevOps
CN = example.com
emailAddress = admin@example.com

• 在C程序里调用OpenSSL命令时指定这个配置文件：

#include <stdlib.h>

int main() {
    // 执行带配置文件的OpenSSL命令
    int ret = system("openssl req -new -key /path/to/private.key -out /path/to/cert.csr -config ./ssl_config.cnf");
    return ret;
}

这种方式不受OpenSSL版本提问顺序变化的影响，是自动化场景下的首选。

2. 使用管道+fork/exec控制子进程输入 #

如果必须动态生成输入内容（比如字段值是程序运行时确定的），可以用管道替代system()，手动给OpenSSL进程喂输入。

示例代码： #

#include <stdio.h>
#include <unistd.h>
#include <sys/wait.h>

int main() {
    int pipefd[2];
    pid_t pid;
    // 按OpenSSL提问顺序编写输入内容，最后两个回车跳过可选字段
    char* input_data = "CN\nBeijing\nBeijing\nMyCompany\nDevOps\nexample.com\nadmin@example.com\n\n";

    // 创建管道
    if (pipe(pipefd) == -1) {
        perror("pipe failed");
        return 1;
    }

    pid = fork();
    if (pid == -1) {
        perror("fork failed");
        return 1;
    }

    if (pid == 0) {
        // 子进程：重定向stdin到管道读端，执行OpenSSL命令
        close(pipefd[1]);
        dup2(pipefd[0], STDIN_FILENO);
        close(pipefd[0]);
        
        execlp("openssl", "openssl", "req", "-new", "-key", "/path/to/private.key", "-out", "/path/to/cert.csr", (char*)NULL);
        perror("execlp failed");
        return 1;
    } else {
        // 父进程：向管道写入预定义输入
        close(pipefd[0]);
        write(pipefd[1], input_data, sizeof(input_data)-1);
        close(pipefd[1]);
        
        // 等待子进程结束
        wait(NULL);
    }

    return 0;
}

注意：输入内容的顺序必须和OpenSSL提问的顺序完全一致，每个字段后加换行符\n，最后通常需要额外回车跳过可选字段。

3. 使用Shell Here文档（最简单的临时方案） #

可以在system()调用的命令里嵌入Shell Here文档，把所有输入内容直接传给OpenSTDIN：

#include <stdlib.h>

int main() {
    int ret = system(
        "openssl req -new -key /path/to/private.key -out /path/to/cert.csr << EOF\n"
        "CN\n"
        "Beijing\n"
        "Beijing\n"
        "MyCompany\n"
        "DevOps\n"
        "example.com\n"
        "admin@example.com\n"
        "\n"
        "EOF"
    );
    return ret;
}

这种方式不需要额外配置文件，但缺点是输入内容固定，且依赖OpenSSL的提问顺序，版本变更可能导致失效。

内容的提问来源于stack exchange，提问作者eric0012