curl 无证书访问https_curl+个人证书（又叫客户端证书）访问https站点 | 学步园

目前，大公司的OA管理系统(俗称内网)，安全性要求较高，通常采用https的双向

认证模式。

首先，什么是https，简单的说就是在SSL协议之上实现的http协议(get、post等操作)。更多的介绍参看这里。

什么是双向认证模式？对于面向公众用户的https的网站，大部分属于单向认证模式，它不需要对客户端进行认证，不需要提供客户端的个人证书，例如https://www.google.com。而双向认证模式，为了验证客户端的合法性，要求客户端在访问服务器时，出示自己的client certificate。

以下，为SSL握手过程：

①客户端的浏览器向服务器传送客户端 SSL 协议的版本号，加密

单向认证模式与双向认证模式的区别，就在于第⑤、第⑥步是否要求对客户的身份认证。单向不需要认证，双向需要认证。

现在介绍如何使用curl来访问双向认证的https站点。

一、准备工作

１、首先，因为要进行客户端认证，你应该具有了客户端的个人证书(对于公司内网，通常是由IT的管理员颁发给你的)，只要你能够顺利的访问双向认证的https站点，你就具有了个人证书，它藏在浏览器上。我们要做的工作，只是把它从浏览器中导出来。从ＩＥ浏览器导出来的格式，通常为.pfx格式，从firefox导出来的格式通常为.p12格式，其实pfx=p12，它们是同一个东西，对于curl而言这种格式称为PKCS#12文件。

２、把p12格式转换为pem格式(假设你的p12文件名为：xxx.p12)：

openssl pkcs12 -in xxx.p12 -out client.pem -nokeys　　　　　　　#客户端个人证书的公钥

openssl pkcs12 -in xxx.p12 -out key.pem -nocerts -nodes　　　　 #客户端个人证书的私钥

也可以转换为公钥与私钥合二为一的文件；

openssl pkcs12 -in xxx.p12 -out all.pem -nodes #客户端公钥与私钥，一起存在all.pem中

在执行过程中，可能需要你输入导出证书时设置的密码。执行成功后，我们就有了这些文件：client.pem——客户端公钥，key.pem——客户端私钥，或者二合一的all.pem。

３、确保你安装的curl版本正确(本人折腾了两天，全因为fedora13下的curl-7.20.1有问题，更新到curl-7.21.0.tar.gz问题解决)。

二、执行curl命令

１、使用client.pem+key.pem

curl -k --cert client.pem --key key.pem https://www.xxxx.com

2、使用all.pem

curl -k --cert all.pem  https://www.xxxx.com

使用-k，是不对服务器的证书进行检查，这样就不必关心服务器证书的导出问题了。