Apache2下file_get_contents报SSL上下文创建失败但CLI运行正常如何解决

核心方向 #

CLI模式运行正常，Apache调用PHP异常，说明问题与PHP核心、OpenSSL版本、根证书本身无关，故障点集中在Apache运行PHP的进程上下文权限、环境变量、系统安全策略限制三类场景。

具体排查步骤 #

• 1. 校验证书文件访问权限 #

  CLI通常以登录用户或root身份运行，权限较高，而Apache运行用户（通常为www-data、apache、nobody）对根证书文件或其父目录无读取权限会直接导致SSL上下文创建失败。
  操作流程：
  1. 执行ps aux | grep apache或ps aux | grep httpd确认Apache运行用户
  2. 新建phpinfo()页面通过web访问，查询openssl.cafile、openssl.capath两项配置的实际路径
  3. 执行ls -l 证书文件路径、ls -ld 证书父目录路径确认Apache用户对路径有可读、可进入权限，无权限则执行chmod +r 证书文件路径、chmod +rx 父目录路径修复

• 2. 排查SELinux/AppArmor系统安全策略限制 #

  类Unix系统默认的安全策略会拦截Apache进程发起的外站网络请求，CLI不受该规则限制，是此类问题的高发原因：
  • 若为CentOS/RHEL系列系统，临时关闭SELinux测试：setenforce 0，如果请求恢复正常，执行以下命令永久放行规则：

    setsebool -P httpd_can_network_connect on
    semanage fcontext -a -t httpd_sys_content_t 你的证书文件绝对路径
    restorecon -Rv 你的证书文件绝对路径
    

  • 若为Debian/Ubuntu系列系统，查看系统日志/var/log/syslog是否有AppArmor拦截Apache的日志，调整对应放行规则即可

• 3. 检查Apache环境变量与模块冲突 #

  1. 对比web版phpinfo()的Environment区块和CLI执行php -i | grep SSL的输出，确认SSL_CERT_FILE等相关环境变量是否一致，若Apache侧有异常覆盖，修改Apache的envvars配置文件即可
  2. 临时关闭mod_security、mod_evasive等额外安全模块重启Apache测试，排除模块规则拦截

• 4. 手动指定SSL上下文验证 #

  调整测试文件手动指定证书路径，确认是否为配置读取问题：

  $context = stream_context_create([
      'ssl' => [
          'cafile' => '你的cacert.pem绝对路径',
          'verify_peer' => true,
          'verify_peer_name' => true,
      ]
  ]);
  echo file_get_contents("https://www.google.com", 0, $context);
  

  若修改后请求正常，检查站点虚拟主机配置中是否通过php_admin_value覆盖了openssl相关配置，或Apache加载的php.ini文件路径与CLI不一致。

内容的提问来源于stack exchange，提问作者PsY4