php curl - 允许使用过期证书进行调用

Question

使用 curl 调用服务器。使用 ssl 证书在协议(protocol) https 上建立连接。

使用下面的代码。

curl_setopt($ch, CURLOPT_URL, $szUrl);
curl_setopt($ch, CURLOPT_RETURNTRANSFER, true);
curl_setopt($ch, CURLOPT_SSL_VERIFYPEER, true);
curl_setopt($ch, CURLOPT_SSL_VERIFYHOST, 1);
curl_setopt($ch, CURLOPT_CAINFO, $this->aConfig['certificatePath']);

我意识到尽管证书已过期，但 curl 仍能正常运行。为什么？无法验证证书是否已过期？

这东西暴露了哪些安全问题？

Answer 1

支持:

curl_setopt($ch, CURLOPT_SSL_VERIFYHOST, 1);

从 cURL 7.28.1 中删除。

使用

curl_setopt($ch, CURLOPT_SSL_VERIFYHOST, 2);

应该可以解决问题。