Windows下使用curl请求报400未发送所需SSL证书问题求助

你遇到的问题核心是Windows原生curl默认使用Schannel作为TLS/SSL后端，不支持直接通过--cert、--key参数加载PEM格式的客户端证书和密钥，日志显示握手阶段Schannel收到了服务端的客户端证书请求，但实际没有正确读取你指定的PEM文件发送证书，最终服务端返回400错误。
具体细节如下：

• 日志中存在schannel: a client certificate has been requested记录，说明服务端确实发起了客户端证书请求，TCP和TLS基础握手已完成，并非服务端在证书发送前提前中断连接
• 你使用的curl 7.55.1是Windows系统自带版本，默认编译时启用的是Schannel后端，而非OpenSSL后端，只有OpenSSL后端支持直接传入PEM格式的证书、密钥路径
• Schannel的设计逻辑要求客户端证书必须先导入到Windows证书存储中，无法直接读取本地PEM格式的证书和密钥文件

方法1：导入证书到Windows证书存储后调用 #

1. 先将你的PEM格式证书和密钥合并为PFX格式，可使用openssl命令执行：

openssl pkcs12 -export -out hs_test_cert.pfx -in hs_test_cert.pem -inkey hst_test_key.pem

2. 双击生成的pfx文件，按照向导导入到当前用户或本地计算机的「个人」证书存储中
3. 调整curl命令，用证书指纹调用即可：

curl -v --cert "你的证书实际指纹" https://myAPIGEEhost.apigee.net/MyBackendName_CCDA_API?apikey=MyAssignedAPIKey

方法2：使用带OpenSSL后端的curl版本 #

下载编译时指定OpenSSL作为TLS后端的curl版本，替换系统自带的curl，即可直接使用你原本的命令加载PEM格式的证书和密钥。

方法3：临时添加参数测试 #

部分场景下Schannel默认开启的证书吊销检查会导致客户端证书发送失败，可先添加--ssl-no-revoke参数尝试：

curl -v --ssl-no-revoke --cert C:\Users\myFolder\Downloads\hs_test_cert.pem --key C:\Users\myFolder\Downloads\hst_test_key.pem https://myAPIGEEhost.apigee.net/MyBackendName_CCDA_API?apikey=MyAssignedAPIKey

内容的提问来源于stack exchange，提问作者Caroline Much