如何修改InternetOpenUrl代码以支持自签名证书的文件下载？

当然可以改代码搞定这个问题！核心原因是WinINet默认会严格校验SSL/TLS证书的合法性，自签名证书因为没有受信任的根证书颁发机构（CA）签名，直接就被拦截了。下面给你两种可行的修改方案：

方案一：快速跳过证书验证（适合测试/内部环境） #

这种方法直接让WinINet忽略证书相关的错误，实现起来最简单，但只适合你完全信任的内部服务器，因为会绕过所有证书安全校验，有被中间人攻击的风险。

你需要放弃原来的InternetOpenUrl快捷方法，改用InternetConnect+HttpOpenRequest的组合，这样就能插入安全选项的设置。修改后的代码示例：

DWORD errCode = 0;
HINTERNET intOpenHandle = InternetOpen(L"Snippet", LOCAL_INTERNET_ACCESS, NULL, 0, 0);
errCode = GetLastError();

if (intOpenHandle != NULL && errCode == ERROR_SUCCESS) {
    // 先建立到服务器的连接
    HINTERNET connectHandle = InternetConnect(
        intOpenHandle, 
        L"你的服务器域名或IP", 
        INTERNET_DEFAULT_HTTPS_PORT, 
        NULL, NULL, INTERNET_SERVICE_HTTP, 0, 0
    );

    if (connectHandle != NULL) {
        // 设置忽略证书错误的安全标志
        DWORD securityFlags = SECURITY_FLAG_IGNORE_UNKNOWN_CA    // 忽略未知CA（自签名证书的核心问题）
                            | SECURITY_FLAG_IGNORE_CERT_DATE_INVALID  // 可选：忽略证书过期
                            | SECURITY_FLAG_IGNORE_CERT_CN_INVALID;   // 可选：忽略域名不匹配

        InternetSetOption(connectHandle, INTERNET_OPTION_SECURITY_FLAGS, &securityFlags, sizeof(securityFlags));

        // 创建并发送HTTP GET请求
        HINTERNET requestHandle = HttpOpenRequest(
            connectHandle, 
            L"GET", 
            L"你要下载的文件路径", 
            NULL, NULL, NULL, 
            INTERNET_FLAG_SECURE, 0
        );

        if (requestHandle != NULL) {
            BOOL sendSuccess = HttpSendRequest(requestHandle, NULL, 0, NULL, 0);
            errCode = GetLastError();

            if (sendSuccess) {
                // 这里写读取并保存文件的逻辑，和你原来的代码逻辑一致
                // ...
            } else {
                // 处理请求发送失败的情况
                printf("请求失败，错误码：%lu\n", errCode);
            }
            InternetCloseHandle(requestHandle);
        }
        InternetCloseHandle(connectHandle);
    } else {
        errCode = GetLastError();
        printf("连接服务器失败，错误码：%lu\n", errCode);
    }
    InternetCloseHandle(intOpenHandle);
}

关键说明： #

• SECURITY_FLAG_IGNORE_UNKNOWN_CA是必须的，专门解决自签名证书没有可信CA的问题；另外两个标志根据你的实际情况选择是否添加。
• 一定要注意安全风险：如果你的程序面向外部用户，绝对不能用这个方案！

方案二：仅信任指定自签名证书（更安全） #

如果不想完全关闭校验，而是只信任你的那枚自签名证书，可以把证书加入系统的受信任根存储，或者在代码中手动加载信任：

1. 先把你的自签名证书导出为.cer格式文件。
2. 在代码中调用CertOpenSystemStore打开系统根证书存储，再用CertAddCertificateContextToStore把证书添加进去（需要管理员权限）。
3. 之后WinINet就会把这枚证书视为可信的，正常完成校验。

这个方案更安全，但实现起来稍微繁琐一点，适合需要长期稳定运行且重视安全性的场景。

原代码的问题分析 #

你原来用InternetOpenUrl的时候，一旦碰到自签名证书，WinINet会直接返回NULL，对应的错误码通常是ERROR_INTERNET_INVALID_CERT或ERROR_INTERNET_SEC_CERT_CN_INVALID。这时候你也可以先检查错误码，再触发忽略验证的逻辑，但用InternetConnect的方式更直接可控。

内容的提问来源于stack exchange，提问作者Usagi Miyamoto