R语言调用API时如何正确配置.p12客户端证书

httr、RCurl 底层依赖libcurl处理SSL连接，默认配置下libcurl不直接识别PKCS12（.p12/.pfx）格式的证书包，会强制按PEM格式解析传入的证书路径，这就是直接传.p12文件路径报could not load PEM client certificate的直接原因。
用read_p12()读取证书后直接传内存中的cert、key对象也无法生效，libcurl的SSL配置参数只接收磁盘上的PEM格式文件路径，不识别R内存中的证书对象。
另外绝大多数配置后仍返回403的场景，核心原因是漏传了.p12包内自带的中间CA证书链，服务端校验证书链不完整就会直接判定证书无效。

不需要额外安装命令行工具，直接用R的openssl包将.p12内的客户端证书、私钥、CA链分别导出为临时PEM文件，再传入请求配置即可：

library(httr)
library(openssl)

# 基础请求配置
headers = c(
  'Content-Type' = 'application/pdf',
  'Authorization' = 'Basic ...'
) 
target_url <- "https://myurlwithcertificate.eu"
p12_path <- "certi.p12"
p12_pwd <- "certificatePassword"

# 读取p12证书，导出为临时PEM文件
p12_content <- read_p12(p12_path, p12_pwd)
# 客户端证书临时文件
cert_tmp <- tempfile(fileext = ".pem")
write_pem(p12_content$cert, cert_tmp)
# 私钥临时文件
key_tmp <- tempfile(fileext = ".pem")
write_pem(p12_content$key, key_tmp, password = p12_pwd)
# CA证书链临时文件（必须配置，否则大概率403）
ca_tmp <- tempfile(fileext = ".pem")
if (!is.null(p12_content$ca)) write_pem(p12_content$ca, ca_tmp)

# 发起请求
resp <- GET(
  url = target_url,
  add_headers(.headers = headers),
  config(
    sslcert = cert_tmp,
    sslkey = key_tmp,
    cainfo = ca_tmp,
    ssl_verifypeer = 1
  )
)

# 清理临时文件
unlink(c(cert_tmp, key_tmp, ca_tmp))

R的curl包4.3.0及以上版本，底层libcurl已经原生支持直接读取PKCS12格式证书，不需要拆分文件，直接配置即可：

library(curl)

# 先确认包版本符合要求
# packageVersion("curl") >= "4.3.0"

# 构建请求句柄
req_handle <- new_handle(
  httpheader = c(
    'Content-Type' = 'application/pdf',
    'Authorization' = 'Basic ...'
  ),
  sslcert = normalizePath("certi.p12"), # 用绝对路径避免找不到文件
  sslkeypasswd = "certificatePassword"
)

# 发起请求
resp <- curl_fetch_memory(url = "https://myurlwithcertificate.eu", handle = req_handle)
# 解析响应内容
resp_content <- rawToChar(resp$content)

• 证书路径优先用normalizePath()转成绝对路径，避免工作目录切换导致找不到证书文件
• 不要随意设置ssl_verifypeer = 0跳过服务端证书校验，这既无法解决客户端证书缺失导致的403问题，还会引入中间人攻击风险
• 如果.p12导出时单独给私钥设置了密码，写入PEM私钥文件时必须传入对应密码，否则私钥无法被libcurl加载
• 不要用RCurl反复调试，其SSL配置逻辑和httr完全一致，不会有额外的兼容效果

内容的提问来源于stack exchange，提问作者Laurens