curl+个人证书（又叫客户端证书）访问https站点

最新推荐文章于 2025-04-15 14:37:10 发布
最新推荐文章于 2025-04-15 14:37:10 发布
阅读量1.8w 收藏 4
点赞数 3
分类专栏： 程序相关
本文深入解析HTTPS双向认证模式的概念与过程，并提供使用curl命令访问需要双向认证的HTTPS站点的具体步骤，包括从浏览器导出个人证书、转换证书格式、选择合适的curl命令参数等关键操作。

摘要生成于 C知道 ，由 DeepSeek-R1 满血版支持， 前往体验 >

目前，大公司的OA管理系统（俗称内网），安全性要求较高，通常采用https的双向 认证模式。

 

首先，什么是https，简单的说就是在SSL协议之上实现的http协议（get、post等操作）。更多的介绍参看这里。

 

什么是双向认证模式？对于面向公众用户的https的网站，大部分属于单向认证模式，它不需要对客户端进行认证，不需要提供客户端的个人证书，例如https://www.google.com。而双向认证模式，为了验证客户端的合法性，要求客户端在访问服务器时，出示自己的client certificate。

 

以下，为SSL握手过程：

 

  1. ①客户端的浏览器向服务器传送客户端 SSL 协议的版本号，加密算法的种类，产生的随机数，以及其他服务器和客户端之间通讯所需要的各种信息。  
  2. 　　②服务器向客户端传送 SSL 协议的版本号，加密算法的种类，随机数以及其他相关信息，同时服务器还将向客户端传送自己的证书。  
  3. 　　③客户利用服务器传过来的信息验证服务器的合法性，服务器的合法性包括：证书是否过期，发行服务器证书的 CA 是否可靠，发行者证书的公钥能否正确解开服务器证书的“发行者的数字签名”，服务器证书上的域名是否和服务器的实际域名相匹配。如果合法性验证没有通过，通讯将断开；如果合法性验证通过，将继续进行第四步。  
  4. 　　④用户端随机产生一个用于后面通讯的“对称密码”，然后用服务器的公钥（服务器的公钥从步骤②中的服务器的证书中获得）对其加密，然后将加密后的“预主密码”传给服务器。  
  5. 　　⑤如果服务器要求客户的身份认证（在握手过程中为可选），用户可以建立一个随机数然后对其进行数据签名，将这个含有签名的随机数和客户自己的证书以及加密过的“预主密码”一起传给服务器。  
  6. 　　⑥如果服务器要求客户的身份认证，服务器必须检验客户证书和签名随机数的合法性，具体的合法性验证过程包括：客户的证书使用日期是否有效，为客户提供证书的CA 是否可靠，发行CA 的公钥能否正确解开客户证书的发行 CA 的数字签名，检查客户的证书是否在证书废止列表（CRL）中。检验如果没有通过，通讯立刻中断；如果验证通过，服务器将用自己的私钥解开加密的“预主密码”，然后执行一系列步骤来产生主通讯密码（客户端也将通过同样的方法产生相同的主通讯密码）。  
  7. 　　⑦服务器和客户端用相同的主密码即“通话密码”，一个对称密钥用于 SSL 协议的安全数据通讯的加解密通讯。同时在 SSL 通讯过程中还要完成数据通讯的完整性，防止数据通讯中的任何变化。  
  8. 　　⑧客户端向服务器端发出信息，指明后面的数据通讯将使用的步骤⑦中的主密码为对称密钥，同时通知服务器客户端的握手过程结束。  
  9. 　　⑨服务器向客户端发出信息，指明后面的数据通讯将使用的步骤⑦中的主密码为对称密钥，同时通知客户端服务器端的握手过程结束。  
  10. 　　⑩SSL 的握手部分结束，SSL 安全通道的数据通讯开始，客户和服务器开始使用相同的对称密钥进行数据通讯，同时进行通讯完整性的检验。  
 

单向认证模式与双向认证模式的区别，就在于第⑤、第⑥步是否要求对客户的身份认证。单向不需要认证，双向需要认证。

 

现在介绍如何使用curl来访问双向认证的https站点。

一、准备工作

１、首先，因为要进行客户端认证，你应该具有了客户端的个人证书（对于公司内网，通常是由IT的管理员颁发给你的），只要你能够顺利的访问双向认证的https站点，你就具有了个人证书，它藏在浏览器上。我们要做的工作，只是把它从浏览器中导出来。从ＩＥ浏览器导出来的格式，通常为.pfx格式，从firefox导出来的格式通常为.p12格式，其实pfx=p12，它们是同一个东西，对于curl而言这种格式称为PKCS#12文件。

２、把p12格式转换为pem格式（假设你的p12文件名为：xxx.p12）：

 

  1. openssl pkcs12 -in xxx.p12 -out client.pem -nokeys　　　　　　　#客户端个人证书的公钥  
  2. openssl pkcs12 -in xxx.p12 -out key.pem -nocerts -nodes　　　　 #客户端个人证书的私钥  
  3. 也可以转换为公钥与私钥合二为一的文件；  
  4. openssl pkcs12 -in xxx.p12 -out all.pem -nodes                                   #客户端公钥与私钥，一起存在all.pem中  
 

在执行过程中，可能需要你输入导出证书时设置的密码。执行成功后，我们就有了这些文件：client.pem——客户端公钥，key.pem——客户端私钥，或者二合一的all.pem。

 

３、确保你安装的curl版本正确（本人折腾了两天，全因为fedora13下的curl-7.20.1有问题，更新到curl-7.21.0.tar.gz问题解决）。

 

 

 

二、执行curl命令

１、使用client.pem+key.pem

curl -k --cert client.pem --key key.pem https://www.xxxx.com

 

2、使用all.pem

curl -k --cert all.pem  https://www.xxxx.com

 

使用-k，是不对服务器的证书进行检查，这样就不必关心服务器证书的导出问题了。

服务器面试必备-网络知识点整理
网易搬砖头
03-08 7万+
epoll的实现知道么？在内核当中是什么样的数据结构进行存储，每个操作的时间复杂度是多少？ epoll是Linux系统中提供的一种高效的I/O多路复用机制。其基于事件驱动的模型，可以有效地管理大量的并发连接。 在内核中，epoll使用一个红黑树（RB Tree）来存储所有的事件。这个红黑树是通过一个特殊的数据结构epoll_event来表示的，每个epoll_event对应一个文件描述符和其上感兴趣的事件。 每次调用epoll_wait函数，内核都会检查红黑树中的所有事件，并返回已经就绪（满足条件）
网络协议 — IPSec 安全隧道协议族
烟云的计算
05-25 4222
安全封装协议（Encapsulating Security Payload，ESP）也是一种封装协议，与 AH 不同的是，ESP 会将 IP 数据包中的 Payload 进行加密后再封装到 IP 数据包，以保证数据的机密性，但 ESP 没有专门对 IP Header 的内容进行保护。在对身份保护要求较高的场合，则应该使用主模式。值得注意的是，IKE 不是简单的在网络上传输密钥，而是通过一系列数据的交换，最终计算出双方共享的密钥，并且即使第三者截获了双方用于计算密钥的所有交换数据，也不足以计算出真正的密钥。
curl使用——https访问
m1f2c3的专栏
05-23 1万+
自己在阿里云上搭建了一个https服务器，以前一直用的是postman，现在想尝试用curl curl --cert client.crt --key client.key --insecure https://此处添加自己的网址及端口 ...
Linux系统中curl命令的基本使用
最新发布
jks212454的博客
04-15 1844
Linux系统中curl命令的基本使用
curl+个人证书访问https站点
热门推荐
云淡风轻
05-06 2万+
目前，大公司的OA管理系统（俗称内网），安全性要求较高，通常采用https的双向 认证模式。 首先，什么是https，简单的说就是在SSL协议之上实现的http协议（get、post等操作） 什么是双向认证模式？对于面向公众用户的https的网站，大部分属于单向认证模式，它不需要对客户端进行认证，不需要提供客户端的个人证书，例如https://www.google.com。而双向认证模式，为了...
curl(四)证书相关
wzj_110的博客
11-04 3488
【代码】curl(四)证书相关
Linux curl使用证书访问HTTPS站点
lovelessdream的博客
12-14 1万+
在curl访问HTTPS站点时，如果没有CA证书，会提示访问缺少CA证书而失败，如下图： 以下步骤可以实现curl带CA证书访问对应的HTTPS站点。 1. 将CA证书转换为pem格式的CA证书 以chrome浏览器为例说明： 打开HTTPS站点，点击该站点的证书图标-->【证书信息】-->【详细信息】-->【复制到文...
实验：模拟实现https
OH_ON的博客
10-21 5274
结合CA实现HTTPS的安全访问，但不幸的是，结果没能成功，按照步骤做的，CA证书导入后总是提醒我证书过期，试了好几次也没能检查出我的证书，还望帮忙检查一下，感谢!!!
php curl 加载证书,php中curl访问https与CA证书（代码示例）
weixin_28900989的博客
03-10 1841
本篇文章给大家带来的内容是关于php中curl访问https与CA证书(代码示例)，有一定的参考价值，有需要的朋友可以参考一下，希望对你有所帮助。CA证书,用来在调用HTTPS资源的时候,验证对方网站是否是CA颁布的证书,而不是自己随便生成的curl命令1.需要下载CA证书 文件地址是 http://curl.haxx.se/ca/cacert.pem2.把下载的文件放到这个位置 /etc/pki...
curl ssl ca根证书
12-10
可以下载下来直接用的，可以解决一些curl的ssl认证方面的问题
CURL访问 https CA证书问题
c2unix的专栏
04-22 1347
（2）在（1）中使用 INFO 设置具体证书，使用相对路径"./lib/cacert.pem"依然报错，改用绝对路径"/home/cacert.pem"（记得把证书拷贝至对应路径）后 问题解决。// 具体的 CA 证书，和上一行效果一样，选用一个即可。
curl 访问k8s https 证书和token 几种方式
码农崛起
12-16 1万+
[root@localhost ~]# curl https://172.16.10.87:6443/api/v1/namespaces curl: (60) Peer's Certificate issuer is not recognized. More details here: http://curl.haxx.se/docs/sslcerts.html curl performs SSL certificate verification by default, using a "bund...
使用curl命令在Linux上进行HTTP请求
weixin_73725158的博客
01-12 1352
是一个非常强大的命令行工具，用于发送各种类型的HTTP请求。通过简单的命令，你可以发送GET、POST、PUT、DELETE等请求，以及设置请求头、处理响应等。这个工具非常强大，可以进行各种复杂的HTTP操作和定制。最基本的HTTP请求是GET请求，用于从服务器检索数据。的详细信息和选项，可以查看其手册页，通过在终端上输入。选项可以将响应保存到文件中，而不是在终端上显示。如果你需要通过代理服务器发送请求，可以使用。进行HTTP请求的常见用法和示例。选项可以设置自定义的请求头。选项来指定要发送的数据。
浅析kubernetes client-go structure
期待幸福
05-22 1052
Prepare Introduction 从2016年8月起，Kubernetes官方提取了与Kubernetes相关的核心源代码，形成了一个独立的项目，即client-go，作为官方提供的go客户端。Kubernetes的部分代码也是基于这个项目的。 client-go 是kubernetes中广义的客户端基础库，在Kubernetes各个组件中或多或少都有使用其功能。。也就是说，client-go可以在kubernetes集群中添加、删除和查询资源对象（包括deployment、service、pod、
（一）关于爬虫之请求
dingfugen的博客
09-23 748
（一）关于爬虫之请求 核心思想： 爬虫实际上是在想尽办法冒充客户端（如：浏览器）向服务器发起请求，拿到服务器响应的数据（资源）。这里都是以浏览器作为客户端发起请求。 用到的模块以及框架（使用前请先安装好）： 1.requests 使用requests进行简单的爬取 import requests requests的方法很多，这里主要使用到 requests.request(method, url, **kwargs)， requests.get(url, data=None, **kwargs)， r
curl命令
WindRunnerMax
02-19 4344
curl命令 curl是一个命令行工具，用于使用任何受支持的协议HTTP、FTP、IMAP、POP3、SCP、SFTP、SMTP、TFTP、TELNET、LDAP或FILE向网络服务器传输数据或从网络服务器传输数据，其被设计成无需用户交互即可工作，因此非常适合在shell脚本中使用，该软件提供代理支持、用户身份验证、FTP上传、HTTP posting、SSL连接、cookie、文件断点传输、metalink等功能。 语法 curl [options] [URL...] 参数 -#, --progres
curl命令详解
weixin_34006468的博客
06-14 805
cURL.1 手册页名称cURL - transfer a URL摘要cURL[选项] [URL... ]描述cURL 是一个向服务器或从服务器传输数据的工具，它支持HTTP 、HTTPS、FTP 、FTPS 、SCP、SFTP、TFTP、DICT、TELNET、LDAP 或FILE 等协议。该命令设计为无需用户干预即可执行。cURL 提供了一大堆诸如代理支持、用户认证、FT...
Docker和Consul
03-20
### Docker与Consul的集成关系 Docker 是一种轻量级虚拟化技术，用于创建和管理容器环境；而 Consul 则是一个分布式服务发现和服务网格工具，能够提供健康检查、键值存储以及多数据中心网络等功能。两者的结合可以实现动态的服务注册与发现机制。 #### 安装 Registrator 并将其连接至 Consul 为了使 Docker 容器能够在启动时自动向 Consul 注册其服务信息，在停止时又能自动注销这些信息，通常会使用 Gliderlabs 的 Registrator 工具[^1]。以下是具体操作： ```bash docker run -d \ --name=registrator \ --net=host \ -v /var/run/docker.sock:/tmp/docker.sock \ --restart=always \ gliderlabs/registrator:latest \ -ip=192.168.153.60 \ consul://192.168.153.40:8500 ``` 上述命令中的 `-ip` 参数指定了宿主机 IP 地址，该地址会被用来对外暴露容器端口。`consul://192.168.153.40:8500` 表明了 Consul 服务器的位置及其监听端口号。 #### 验证服务轮询功能 当多个实例部署在同一组负载均衡器后面时，可以通过访问不同路径来验证请求是否被均匀分配给各个节点。例如通过浏览器或者 curl 命令多次调用 `http://<load_balancer_ip>:<port>/` 来观察返回结果的变化情况[^2]。 对于单独查看某个特定容器的日志输出，则可以直接利用如下指令完成： ```bash docker logs -f test-01 docker logs -f test-02 docker logs -f test-03 ``` 这里假设我们有三个分别命名为test-01,test-02,test-03的应用程序正在运行当中，并且它们都已成功加入到了由Consul维护的服务列表里去。 #### 创建并发布HTTP服务示例 下面给出了一条简单的命令行脚本片段，它展示了怎样快速搭建起一个基于Apache Web Server镜像的小型站点项目。 ```bash docker run -itd -p 82:80 --name test-2 -h test2 httpd ``` 这条语句将会以后台模式开启一个新的进程，同时映射本地机器上的82号TCP通道到新产生的名为'test-2'的新建web server内部默认开放出来的80端口中[^3]。 #### 初始化设置Consul客户端软件包 最后一步就是准备好必要的依赖项文件夹结构之后再解压官方二进制分发版得到最终可执行档名叫做‘consul’的东西放到全局搜索路径下即可立即生效启用版本查询命令确认安装无误结束整个流程描述环节[^4]: ```bash mkdir /opt/consul && cd $_ unzip consul_0.9.2_linux_amd64.zip mv consul /usr/local/bin/ consul version ```
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值