curl使用--capath正常 node.js https.request报SSL握手失败如何解决

解决方案 #

按优先级逐一验证排查：

• 补全SNI配置（最高频原因）
  curl默认会自动携带SNI（服务器名称指示）字段完成TLS握手，但Node.js的https.request在部分场景下不会默认发送，需要显式在请求参数中添加servername字段，值和你的访问域名保持一致即可。
• 调整TLS版本与加密套件配置
  可先执行curl -v https://someserver.com -I查看curl正常请求时使用的TLS版本、加密套件，再对应配置到Node请求参数中，避免Node默认的TLS配置和服务器要求不匹配。
• 验证证书文件有效性
  确认读取的someserver.pem是完整的证书链文件，编码为UTF-8且为Unix换行格式，可执行dos2unix /etc/ssl/certs/someserver.pem转换换行格式避免解析错误。
• 全局CA配置替代方案
  如果要使用系统CA证书池，环境变量需显式导出后再执行Node命令：

  export SSL_CERT_DIR=/etc/ssl/certs
  node --use-openssl-ca app.js
  

  也可以直接使用NODE_EXTRA_CA_CERTS环境变量指定单根证书，无需修改代码：

  export NODE_EXTRA_CA_CERTS=/etc/ssl/certs/someserver.pem
  node app.js
  

修改后的代码示例 #

const https = require('https');
const fs = require('fs');

const options = {
  hostname: 'someserver.com',
  port: 443,
  path: '/',
  method: 'GET',
  servername: 'someserver.com', // 新增SNI配置
  ca: fs.readFileSync('/etc/ssl/certs/someserver.pem'),
  // 可按需添加TLS版本配置，比如指定最低支持TLS1.2
  minVersion: 'TLSv1.2',
  // 可按需指定加密套件，和curl请求时使用的保持一致
  // ciphers: 'ECDHE-ECDSA-AES128-GCM-SHA256'
}

const req = https.request(options, res => {
  console.log(`statusCode: ${res.statusCode}`)
  res.on('data', d => {
    process.stdout.write(d)
  })
})

req.on('error', error => {
  console.error(error)
})

req.end()

内容的提问来源于stack exchange，提问作者danunafig