如何用内存加载证书替代SSL_CTX_verify_locations函数？

你的思路方向是对的——通过X509_STORE管理信任证书，从内存BIO读取PEM格式证书后添加到存储里。不过代码里有几个细节需要调整，避免内存泄漏或者验证逻辑失效，我帮你修正并解释下：

原代码的几个问题 #

• 你先新建了X509_STORE* store = X509_STORE_new();，然后立刻用store = SSL_CTX_get_cert_store(SSL_CONTEXT);覆盖指针，这会导致第一个新建的store内存泄漏，完全没必要自己新建，直接用SSL上下文自带的存储即可。
• SSL_CTX_add_extra_chain_cert是用来添加本地证书链（比如自身服务器/客户端证书的中间链），不是用来添加信任CA的，这个函数用在这儿是错误的，应该只操作X509_STORE来管理信任列表。
• 读取证书后的X509* temp需要正确释放，避免内存泄漏。

修正后的完整代码示例 #

// 假设SSL_CONTEXT已经初始化完成（比如通过SSL_CTX_new创建）
X509_STORE* store = SSL_CTX_get_cert_store(SSL_CONTEXT);
if (!store) {
    // 处理错误：获取存储失败
    return -1;
}

// 内存中的PEM格式CA证书（必须包含完整的PEM头和尾）
unsigned char CAPEM[] = "-----BEGIN CERTIFICATE-----\n"
                        "MIICdzCCAX+gAwIBAgIUY...（省略中间证书内容）\n"
                        "-----END CERTIFICATE-----";

// 创建内存BIO
BIO* mem = BIO_new_mem_buf((void*)CAPEM, sizeof(CAPEM) - 1); // 减去1避免末尾的'\0'被当成PEM内容
if (!mem) {
    // 处理BIO创建错误
    return -1;
}

X509* temp = NULL;
// 从内存BIO读取PEM格式的X509证书
temp = PEM_read_bio_X509(mem, &temp, NULL, NULL);
BIO_free(mem); // 读取完成后释放BIO
if (!temp) {
    // 处理证书读取错误
    return -1;
}

// 将证书添加到信任存储
if (X509_STORE_add_cert(store, temp) != 1) {
    // 处理添加证书失败
    X509_free(temp);
    return -1;
}

// 释放temp：X509_STORE_add_cert已增加证书引用计数，我们释放自己持有的临时引用
X509_free(temp);

// 开启peer验证（和原SSL_CTX_verify_locations的验证逻辑对应）
SSL_CTX_set_verify(SSL_CONTEXT, SSL_VERIFY_PEER, NULL);

关键注意事项 #

• 内存中的CAPEM必须是完整的PEM格式：包含-----BEGIN CERTIFICATE-----和-----END CERTIFICATE-----的头尾部，且换行符要正确（PEM解析依赖这些格式）。
• BIO_new_mem_buf的长度参数：如果你的CAPEM是带'\0'结尾的字符串字面量，记得用sizeof(CAPEM)-1，避免空字符干扰PEM解析。
• 引用计数管理：X509_STORE_add_cert会接管证书的引用，必须调用X509_free(temp)释放临时引用，否则会造成内存泄漏。
• 若需加载多个CA证书，重复“创建内存BIO→读取证书→添加到store→释放证书”的流程即可。

内容的提问来源于stack exchange，提问作者zoorE