php - 如果 CURLOPT_SSL_VERIFYPEER 为假，数据传输是否不再安全？

Question

我最近在将数据发布到更新了 SSL 证书的服务器时遇到了问题。我做了一些研究，发现当 CURLOPT_SSL_VERIFYPEER 设置为 false 时，发布日期成功通过。有人可以解释一下 CURLOPT_SSL_VERIFYPEER 和 _VERIFYHOST 之间的关系吗？另外，如果我将 VERIFYPEER 设置为 false，我是否不再通过安全连接传输数据？

非常感谢任何人可以提供的帮助。

Answer 1

连接仍将采用 SSL 加密。您只是不会在使用经过验证的正确证书的链接上执行此操作。任何人都可以为自己创建一个 SSL 证书，它将在您的浏览器和网络服务器支持的任何级别上进行完全可接受的加密。

然而，您将收到很多关于无法验证证书真实性的投诉。这是为了防止 Joe M. Alicious 为自己创建一个声称是“microsoft.com”的证书并设置他们自己的 Windows 更新主机。该证书会说它是 microsoft.com，但它不能被验证为实际上是 microsoft.com，因为 Verisign(或任何人)实际上并没有颁发该证书并在上面贴上他们自己的真实性标记(签署证书)。

_VERIFYHOST 用于检查您要连接的 URL 的主机名(例如“microsoft.com”)是否列在 SSL 证书中。将此选项设置为 false，将忽略 url/cert 主机名不匹配(例如，您在 testbox.develhost.com 上有一个开发框，但正在使用您客户的真实有效“example.com”证书)。

_VERIFYPEER 禁用验证整个证书。这允许自签名证书工作。否则 SSL 库会吐出证书的颁发者无效。

但是无论哪种设置，如果您强制通过连接，它将被 ssl 加密。