CentOS7环境下curl客户端证书验证失败问题求助

问题描述 #

在CentOS7系统执行curl命令调用HTTPS接口时，出现证书验证失败错误，其他环境可正常运行：
执行命令：

sudo curl -X 'GET' 'https://webpage/document' --cert '/localization.crt.pem' --key '/localization.key.pem' -H 'accept: */*' -k

错误信息：

curl: (58) SSL peer cannot verify your certificate.

已通过PKICertImport命令导入证书，执行后echo $?返回0，确认命令执行成功，但问题依旧。

可能的原因及解决步骤 #

1. curl与NSS数据库的适配问题 #

CentOS7默认curl使用NSS作为SSL后端，但直接用--cert/--key指定证书文件时，curl不会读取NSS数据库，而是直接调用指定文件。

• 先确认curl的SSL后端：

curl -V

若输出包含NSS，想通过NSS数据库使用证书，需给curl指定数据库路径，而非用--cert/--key参数：

sudo curl -X GET 'https://webpage/document' --cacert /path/to/ca.crt -H 'accept: */*' --cert-type PEM --nssdb /path/to/nssdb -k

注意：/path/to/nssdb是你执行PKICertImport时指定的目录（你用了-d .，即当前目录，需确保curl有权访问）

2. 证书与密钥文件的匹配性 #

CentOS7的curl版本较旧（默认7.29），对证书格式兼容性更严格：

• 验证证书与密钥是否匹配：

openssl x509 -noout -modulus -in /localization.crt.pem | openssl md5
openssl rsa -noout -modulus -in /localization.key.pem | openssl md5

两个命令输出的MD5值必须完全一致，否则证书与密钥不匹配。

• 检查证书链完整性：确保localization.crt.pem包含客户端证书+中间CA证书（若有），按顺序拼接。

3. 文件权限问题 #

使用sudo执行curl时，需确认：

• 证书和密钥文件的权限是否允许root读取：

ls -l /localization.crt.pem /localization.key.pem

密钥文件建议设为600权限，证书设为644。

• 若用NSS数据库，数据库目录权限需允许root访问：

ls -ld /path/to/nssdb

4. -k参数的误区 #

-k仅跳过服务器证书验证，不会跳过服务器对客户端证书的验证。如果服务器CA证书不在系统信任列表，应使用--cacert指定服务器CA证书，而非依赖-k。

5. 确认证书是否真的导入NSS数据库 #

你执行PKICertImport时用了-d .，需验证：

• 当前目录是否生成NSS数据库文件：

ls -la | grep -E "(cert8|key3|secmod).db"

• 查看数据库内的证书列表：

certutil -L -d .

如果看不到你导入的"client name"证书，说明导入过程存在隐性错误，即使echo $?返回0，也可能是参数或路径问题。

内容的提问来源于stack exchange，提问作者justacrappyprogrammer