curl带-k参数无--cacert失败，仅传中间CA成功的原因咨询

问题背景 #

我搭建了一套客户端-服务端交互架构，仅由服务端认证客户端：

• 客户端使用的client-cert.pem由中间CA签发，中间CA又由根CA签发
• 服务端用自身持有的根CA来认证客户端证书

执行curl命令时出现以下现象：

1. curl -k --cert client-cert.pem --key client-key.pem https://server.com:443/endpoint 失败，服务端提示认证失败
2. 添加--cacert intermediates.pem参数后命令执行成功
3. 添加--cacert root-ca.pem参数仍失败

疑问解答 #

1. 服务端为何会在意curl的--cacert选项？curl本不应发送CA证书，对吗？

没错，--cacert原本是用来指定验证服务端证书的CA列表，但这里加了-k参数已经跳过了服务端证书验证，此时这个参数的作用变了：它会让curl把指定的CA证书加入到发给服务端的客户端证书链里。

服务端验证客户端证书时，必须有完整的信任链（客户端证书 → 中间CA → 根CA）才能确认合法性。默认情况下curl只发客户端证书本身，不带中间CA，服务端就算有根CA，也没法把客户端证书和根CA关联起来，自然验证失败。所以服务端的“在意”，本质是缺了中间CA导致信任链不完整，而--cacert刚好帮curl补上了这个环节。

2. 为何仅传入中间CA文件就能成功？

当指定--cacert intermediates.pem时，curl会把客户端证书和中间CA证书一起发给服务端。服务端拿到这两个证书后，能完成完整的信任链验证：

• 先确认客户端证书是由中间CA签发的
• 再确认中间CA是由自己信任的根CA签发的
  整个链条完整，所以认证通过。

如果传入的是root-ca.pem，curl会把客户端证书和根CA一起发送，但客户端证书的签发者是中间CA，不是根CA，服务端没法通过根CA直接验证客户端证书的合法性，信任链在这里断了，所以认证还是失败。

内容的提问来源于stack exchange，提问作者Aakash Naik