FetchLinux如何验证SSL证书

FetchLinux 验证 SSL 证书的可行方法

一、先澄清与总体思路

• 若你指的是 Fetch（Linux 下的 HTTP 客户端），它默认遵循系统信任库进行证书校验，无法直接“像 OpenSSL 那样”输出证书细节或做链验证；因此通常借助 OpenSSL、curl 完成验证，或在程序中配置 CA 证书路径 与证书文件进行校验。
• 若你指的是 Linux 服务器/服务 的证书验证，则可用 OpenSSL s_client、x509、verify、OCSP/CRL 等工具完成端到端检查。

二、使用 OpenSSL 验证远程服务器证书

• 检查有效期（含 SNI 支持）：
  • 命令：openssl s_client -connect example.com:443 -servername example.com </dev/null 2>/dev/null | openssl x509 -noout -dates
  • 关注输出中的 Not Before / Not After 是否在当前时间范围内。
• 查看证书链与主体/颁发者：
  • 命令：openssl s_client -connect example.com:443 -servername example.com </dev/null 2>/dev/null | openssl x509 -noout -text
  • 在输出中核对 Subject、Issuer、X509v3 extensions，并确认链是否完整。
• 本地证书文件有效期与详情：
  • 有效期：openssl x509 -in server.crt -noout -dates
  • 详情：openssl x509 -in server.crt -text -noout
• 验证证书链是否受信任：
  • 命令：openssl verify -CAfile /path/to/ca-bundle.crt server.crt
  • 若服务器使用中间证书，建议将 服务器证书 + 中间证书 合并为 fullchain 再验证：cat server.crt intermediate.pem > fullchain.pem，然后 openssl verify -CAfile ca.pem fullchain.pem。
• 检查吊销状态（可选）：
  • OCSP：openssl ocsp -issuer issuer.crt -cert server.crt -url http://ocsp.example.com
  • CRL：openssl crl -in crl.pem -noout -text。

三、使用 curl 验证与排查

• 标准验证（使用系统 CA 存储）：curl -v https://example.com
  • 若返回证书错误（如 self signed certificate 或 unable to get local issuer certificate），说明证书不受信任或链不完整。
• 指定自定义 CA 证书或证书链文件：curl --cacert /path/to/ca-bundle.crt https://example.com
• 直接以 PEM 形式提供服务器证书进行验证（适合自签或私有 CA）：
  • 获取证书：openssl s_client -showcerts -connect example.com:443 </dev/null 2>/dev/null | openssl x509 -outform PEM > server.pem
  • 验证：curl --cacert server.pem https://example.com
  • 或进程替换：curl --cacert <(openssl s_client -showcerts -connect example.com:443 </dev/null 2>/dev/null | openssl x509 -outform PEM) https://example.com。

四、在 Fetch 或程序中使用证书的正确姿势

• 使用系统信任库（推荐）：确保系统 CA 证书包 为最新，程序将自动信任由公共 CA 签发且在有效期内的证书。
• 指定自定义 CA 或证书链：
  • 将 根 CA/中间 CA 合并为 bundle（如 fullchain 或 ca-bundle.crt），在程序里设置 CA 证书路径 指向该文件，即可完成与 OpenSSL 一致的信任校验。
• 自签名或私有 CA 场景：
  • 将自签/私有 CA 证书加入信任库，或在程序中显式配置该 CA 证书 用于校验服务器证书。
• 常见排错要点：
  • 校准系统 时间与时区（证书校验强依赖时间）。
  • 确认证书 未过期、域名匹配、链完整（包含中间证书）。
  • 若服务使用 SNI，客户端需正确发送 SNI 扩展（命令行工具通过 -servername 指定）。