OpenSSL 1.1.1k 内存加载证书场景下客户端证书校验失效排查

• 完全用错了证书操作的API：
  SSL_CTX_use_certificate、SSL_CTX_use_certificate_file 这两个API的作用是为客户端配置自身向对端出示的证书（仅在双向TLS场景需要），完全不会参与服务端证书的校验流程，和信任库没有任何关系。之前误以为磁盘加载场景生效，本质是磁盘加载时的代码逻辑实际触发了「把证书加载到信任库」的动作，而非API本身的作用。
• 没有开启对端校验开关：OpenSSL客户端默认不强制校验服务端证书，必须显式调用SSL_CTX_set_verify设置SSL_VERIFY_PEER，才会在握手时执行证书合法性校验。
• 认知误区澄清：信任证书的校验逻辑和存储位置完全无关，磁盘加载还是内存加载只是证书的输入源不同，只要最终把受信CA证书写入SSL_CTX关联的X509_STORE（信任库），就能正常触发校验，不存在“必须落地磁盘”的限制。

• 从内存文本构造只读BIO，解析得到X509结构的受信CA证书
• 从SSL_CTX中获取内置的信任库对象X509_STORE
• 将内存解析得到的CA证书追加到信任库中
• 显式开启服务端证书强制校验模式
• 完成临时内存对象清理（OpenSSL的引用计数机制会保证证书对象在信任库生命周期内不被提前释放）

// 需引入对应头文件：<openssl/bio.h>、<openssl/pem.h>、<openssl/x509.h>、<openssl/x509_vfy.h>
bool setTrustCertsFromMemory(SSL_CTX* ctx, const char* trustCACertMem)
{
    if (ctx == nullptr || trustCACertMem == nullptr || *trustCACertMem == '\0')
    {
        return false;
    }

    bool ret = true;
    // 构造指向内存数据的只读BIO
    BIO* memBIO = BIO_new_mem_buf(trustCACertMem, -1);
    if (memBIO == nullptr)
    {
        return false;
    }

    // 获取SSL_CTX内置的信任库对象
    X509_STORE* trustStore = SSL_CTX_get_cert_store(ctx);
    X509* pCert = nullptr;
    // 循环解析内存中所有PEM格式的CA证书（支持多证书连续存储的场景）
    while ((pCert = PEM_read_bio_X509(memBIO, nullptr, 0, nullptr)) != nullptr)
    {
        // 把解析到的CA证书加入信任库
        if (X509_STORE_add_cert(trustStore, pCert) != 1)
        {
            X509_free(pCert);
            ret = false;
            break;
        }
        // 释放当前证书对象的自有引用，信任库会通过引用计数持有自己的引用副本
        X509_free(pCert);
    }

    // 开启强制校验：校验失败直接终止握手，传NULL回调时走OpenSSL默认校验逻辑
    SSL_CTX_set_verify(ctx, SSL_VERIFY_PEER, nullptr);

    // 清理临时BIO资源
    BIO_free_all(memBIO);

    // 保留原有配置
    SSL_CTX_set_options(ctx, SSL_OP_NO_SSLv2 | SSL_OP_NO_SSLv3);
    SSL_CTX_set_session_cache_mode(ctx, SSL_SESS_CACHE_OFF);
    return ret;
}

• 多CA证书场景必须循环解析BIO，单次PEM_read_bio_X509只会读取BIO中第一个PEM块的证书，剩余证书会被遗漏。
• 不需要调用任何依赖磁盘路径的API，全程没有落地读写动作，证书仅在内存中完成解析、加载流程。
• 如果需要在校验阶段附加自定义的校验规则（比如校验服务端域名、IP匹配），可以在SSL_CTX_set_verify中传入自定义回调函数，在回调中基于证书校验结果做额外判断，这部分逻辑和证书的加载源无关。

内容的提问来源于stack exchange，提问作者JayS