从GCP Cloud Storage读取SSL证书时NodeJS出现SSL连接错误

问题根源 #

你碰到的核心问题是：node-libcurl的SSLCERT配置选项只支持本地文件系统路径，不直接接受远程URL。虽然你的证书已经放在GCS并设为公开，能通过HTTP访问，但curl底层不会自动下载远程URL对应的文件来作为SSL证书使用——这就是为什么本地磁盘路径能正常工作，而GCS的远程URL不行的原因。

解决方案步骤 #

要解决这个问题，你需要先把GCS上的证书文件下载到本地临时路径，再将这个本地路径传给SSLCERT选项。下面是具体的实现方法：

1. 安装必要依赖（如果用GCP官方库）

如果你想用GCP官方的Storage客户端库来下载证书，先安装依赖：

npm install @google-cloud/storage

2. 修正后的代码示例

下面是整合了证书下载、curl请求、临时文件清理的完整代码：

const Curl = require('node-libcurl').Curl;
const { Storage } = require('@google-cloud/storage');
const fs = require('fs').promises;
const path = require('path');
const os = require('os');

// 初始化GCS客户端
const storage = new Storage();
const bucketName = '[BUCKET_NAME]';
const certFileName = '[SSLCERT].pem';
const tempCertPath = path.join(os.tmpdir(), certFileName); // 临时文件路径

async function runRequest() {
  try {
    // 步骤1：从GCS下载证书到本地临时文件
    await storage.bucket(bucketName).file(certFileName).download({
      destination: tempCertPath
    });
    console.log('证书已成功下载到本地临时路径');

    // 步骤2：初始化curl并配置参数
    const curl = new Curl();
    const API_URL = 'https://api-end-point.com';

    curl.setOpt('URL', API_URL);
    curl.setOpt('SSLCERT', tempCertPath); // 使用本地临时路径
    // 这里添加你原来的其他curl配置（比如SSLKEY、CAINFO等）

    curl.on('end', async function(statusCode, body, headers) {
      console.info("Status Code: " + statusCode);
      console.info(body.length);
      this.close();
      // 步骤3：请求完成后清理临时文件
      await fs.unlink(tempCertPath);
    });

    curl.on('error', async (err) => {
      console.log(err);
      this.close();
      // 出错时也清理临时文件
      await fs.unlink(tempCertPath).catch(() => {});
    });

    curl.perform();
  } catch (err) {
    console.error('下载证书或执行请求时出错:', err);
    // 清理临时文件（如果已创建）
    await fs.unlink(tempCertPath).catch(() => {});
  }
}

runRequest();

替代方案（不用GCP官方库）

如果你不想用GCP官方库，也可以用axios或fetch直接下载证书内容到临时文件：

const axios = require('axios');
const fs = require('fs').promises;
// ... 其他依赖

async function downloadCert() {
  const certUrl = 'http://storage.googleapis.com/[BUCKET_NAME]/[SSLCERT].pem';
  const response = await axios.get(certUrl, { responseType: 'stream' });
  const writeStream = fs.createWriteStream(tempCertPath);
  await new Promise((resolve, reject) => {
    response.data.pipe(writeStream);
    writeStream.on('finish', resolve);
    writeStream.on('error', reject);
  });
}

额外说明 #

• 为什么gsutil能访问但代码不行？因为gsutil是专门为GCS设计的工具，内置了远程对象的读取、下载逻辑；而node-libcurl的SSLCERT参数只是单纯告诉curl去读取本地文件系统的路径，没有远程获取证书的能力。
• 临时文件路径用os.tmpdir()可以保证跨平台兼容性，请求完成后记得清理，避免磁盘空间被占用。

内容的提问来源于stack exchange，提问作者Bhaskar