CURLINFO_SSL_VERIFYRESULT返回值含义咨询及HTTPS证书验证问题

我完全懂你在调试libcurl SSL证书验证时的头疼——找这个返回值的详细含义确实藏得有点深，官方示例还和你的实验结果对不上，太让人困惑了。

先给你说清楚核心：CURLINFO_SSL_VERIFYRESULT的返回值不是libcurl自己定义的错误码，它直接传递的是你当前libcurl所使用的TLS后端（比如OpenSSL、GnuTLS、NSS等）的证书验证错误码。这也是为什么官方示例可能和你的实验结果矛盾——示例大概率是基于OpenSSL写的，但如果你用的是其他TLS后端，错误码体系自然不一样。

具体怎么解析这个值？ #

• 第一步：确认你的TLS后端
  可以通过调用curl_version_info(CURLVERSION_NOW)来查看当前libcurl使用的加密后端，或者在编译时查看配置参数（比如./configure --with-openssl还是--with-gnutls）。

• 第二步：对应后端找错误码定义

  • 如果是OpenSSL：返回值就是<openssl/x509_vfy.h>中定义的X509_V_*系列宏，比如X509_V_OK（0，验证通过）、X509_V_ERR_UNABLE_TO_GET_ISSUER_CERT（无法获取颁发者证书）等。你可以用X509_verify_cert_error_string()函数把错误码转换成可读的字符串。
  • 如果是GnuTLS：返回值对应<gnutls/gnutls.h>中的GNUTLS_E_*系列宏，用gnutls_strerror()来解析错误信息。
  • 如果是NSS：则需要参考NSS的证书验证错误码文档，用对应的错误信息函数解析。

为什么官方示例和你的实验矛盾？ #

举个例子：官方示例里说0意味着验证通过，但如果你用的是GnuTLS，某些场景下可能0之外的码也有特殊含义，或者你的实验中虽然返回0，但实际上CURLOPT_SSL_VERIFYPEER没设置为1（默认在某些旧版本libcurl里可能是0，相当于跳过验证），导致验证逻辑根本没生效，自然结果不符合预期。

实用代码示例（以OpenSSL为例） #

#include <curl/curl.h>
#include <openssl/x509_vfy.h>
#include <stdio.h>

int main() {
    CURL* curl = curl_easy_init();
    if (curl) {
        curl_easy_setopt(curl, CURLOPT_URL, "https://example.com");
        // 一定要开启强制验证，否则验证结果无意义
        curl_easy_setopt(curl, CURLOPT_SSL_VERIFYPEER, 1L);
        curl_easy_setopt(curl, CURLOPT_SSL_VERIFYHOST, 2L);

        CURLcode res = curl_easy_perform(curl);
        if (res == CURLE_OK) {
            long ssl_verify_result = -1;
            curl_easy_getinfo(curl, CURLINFO_SSL_VERIFYRESULT, &ssl_verify_result);

            if (ssl_verify_result != X509_V_OK) {
                const char* err_msg = X509_verify_cert_error_string(ssl_verify_result);
                printf("SSL证书验证失败: %s (错误码: %ld)\n", err_msg, ssl_verify_result);
            } else {
                printf("SSL证书验证通过\n");
            }
        } else {
            printf("请求失败: %s\n", curl_easy_strerror(res));
        }
        curl_easy_cleanup(curl);
    }
    return 0;
}

额外提醒 #

• 务必确保开启CURLOPT_SSL_VERIFYPEER和CURLOPT_SSL_VERIFYHOST，否则CURLINFO_SSL_VERIFYRESULT的返回值是没有意义的——因为libcurl根本没做验证。
• 如果你的libcurl是静态编译的，要确认编译时绑定的TLS后端，避免和系统默认的混淆。

内容的提问来源于stack exchange，提问作者Michał Trybus