使用libcurl配置AWS根证书固定时出现CURLE_SSL_PINNEDPUBKEYNOTMATCH错误求助

你遇到的这个公钥固定不匹配的错误，大概率是几个细节没处理对，我给你逐个排查：

1. 检查哈希格式与完整性 #

libcurl要求的公钥固定字符串格式是严格的sha256//<小写十六进制哈希值>，几个关键点要注意：

• 哈希值必须是全小写，如果生成的是大写或混有大写，肯定匹配失败；
• 字符串里不能有多余符号，比如你代码里末尾的...如果是实际存在的（不是示例省略），会直接导致哈希不完整；
• 多个哈希用分号分隔，分号前后不能有空格，否则libcurl会识别错误。

另外要确认你计算的是**主体公钥信息（SPKI）**的SHA256哈希，而不是证书本身的哈希——很多人会搞混这两个：SPKI是提取证书里的公钥部分再做哈希，不是对整个证书文件哈希。

2. 确认你固定的证书层级是否正确 #

AWS的服务很少直接用根证书签名服务器证书，一般是「根CA → 中间CA → 服务器证书」的链结构。如果你固定的是根证书的SPKI，得确保目标服务的证书链里确实包含你选的这些根证书；如果你的目标是验证服务器身份，其实更常见的是固定中间CA的公钥（因为根证书更新频率极低，但中间CA可能会轮换）。

你可以手动查看目标服务的证书链：用以下命令获取证书链并查看层级：

openssl s_client -connect your-aws-service-domain:443 </dev/null

输出里会显示证书链的每一级，确认你固定的根证书是否在最终的信任链里。

3. 验证哈希值是否正确生成 #

手动生成目标证书（或根/中间CA）的SPKI SHA256哈希，和你代码里的对比：

1. 提取目标证书的公钥：

# 替换成你的AWS服务域名
openssl s_client -connect your-aws-service-domain:443 </dev/null | openssl x509 -pubkey -noout > pubkey.pem

2. 生成SPKI的SHA256哈希：

openssl pkey -pubin -in pubkey.pem -outform der | openssl dgst -sha256 -hex

得到的输出（去掉SHA256(stdin)= 前缀，且全小写）应该和你代码里的哈希值完全一致。

4. 检查libcurl配置是否正确 #

确保你正确设置了CURLOPT_PINNEDPUBLICKEY选项，比如代码里是不是把完整的字符串正确传递给了这个选项，有没有出现字符串截断、空指针之类的问题。比如C++里的static string PUBLIC_KEY要确保初始化的字符串是完整的，没有被意外截断。

举个正确的公钥固定字符串示例：

static string PUBLIC_KEY = "sha256//fbe3018031f9586bcbf41727e417b7d1c45c2f47f93be372a17b96b50757d5a2;sha256//7f4296fc5b6a4e3b35d3c369623e364ab1af381d8fa7121533c9d6c633ea2461";

先从这几个点排查，应该能找到问题所在。

内容的提问来源于stack exchange，提问作者Swtsvn