CentOS PHP日志中的SSL错误怎么排查

CentOS PHP SSL 错误排查与修复指南

一、快速定位错误类型

• 从 PHP 错误日志中抓取关键线索：例如 error:14090086:SSL routines:ssl3_get_server_certificate:certificate verify failed（证书验证失败）、SSL operation failed with code 1（SSL 操作失败）、或 cURL error 35（SSL 连接错误）。这些关键词分别对应证书信任链、本地 CA 配置、TLS 握手/协议与库版本等方向。
• 用命令行复现问题，区分是 PHP 代码问题还是系统/网络问题：
  • curl 直连目标地址（替换为你的实际域名）：curl -Iv https://example.com
  • 查看本机支持的协议与库版本：curl -V；php -r “echo OPENSSL_VERSION_TEXT;”
  • 如怀疑证书链，检查服务端是否完整返回链：openssl s_client -connect example.com:443 -showcerts
    以上步骤可快速判断是否为证书不受信任、链不完整、协议不匹配或库过旧所致。

二、常见根因与对应修复

• CA 证书未配置或被篡改

  • 现象：日志含 certificate verify failed、SSL operation failed with code 1。
  • 处理：更新系统 CA 证书并配置 PHP 使用权威 CA 包。
    • 更新系统证书：yum install -y ca-certificates && update-ca-trust
    • 配置 PHP（注意路径以实际环境为准）：
      • openssl.cafile=/etc/pki/tls/certs/ca-bundle.crt
      • curl.cainfo=/etc/pki/tls/certs/ca-bundle.crt
    • 重启 PHP-FPM/Apache/Nginx 后复测。

• 证书链不完整（服务器未返回中间证书）

  • 现象：浏览器正常而 PHP/curl 报错，或仅在特定客户端失败。
  • 处理：在服务端补全证书链（将中间证书与服务器证书合并），或确保反向代理/负载均衡正确发送完整链；客户端无需改动。

• 服务器证书过期或域名不匹配

  • 现象：访问即被拒绝或仅部分客户端报错。
  • 处理：检查目标站点证书有效期与域名匹配性（可用浏览器或 openssl x509 查看），联系对方更新证书。

• 系统时间错误

  • 现象：证书“尚未生效”或“已过期”类报错。
  • 处理：校准系统时间（例如 ntpdate 或 chrony 同步），再复测。

• TLS 版本/库不匹配或代理干扰

  • 现象：偶发握手失败、特定主机失败或仅升级后出现问题。
  • 处理：
    • 升级系统 OpenSSL/curl 与 PHP（及 curl 扩展），避免过旧 SSL/TLS 实现；必要时在 curl 中显式指定 CURLOPT_SSLVERSION_TLSv1_2（或更高）。
    • 排查企业代理/防火墙是否做 TLS 拦截或证书替换，必要时在代理放行或导入代理根证书到系统/ PHP CA 信任库。

三、最小复现与验证脚本

• 证书验证失败复现与修复验证
  • 复现：php -r “copy(‘https://example.com/file’, ‘out’);”
  • 修复后验证：再次执行应无 SSL 报错，且文件可正常下载。
• 服务端链完整性自检
  • 命令：echo | openssl s_client -connect example.com:443 -showcerts
  • 判定：输出中应能看到服务器证书及至少一个中间证书；若缺失中间证书，需服务端补全。

四、配置与变更记录

• 修改前备份：cp /etc/php.ini /etc/php.ini.bak_$(date +%F)
• 修改后验证配置生效：php -i | grep -E “openssl.cafile|curl.cainfo”
• 重启服务：
  • systemctl restart php-fpm
  • 或 systemctl restart httpd / nginx
• 不建议长期关闭验证（如 copy()/file_get_contents 的 ssl 验证），仅可在隔离测试环境临时使用；生产环境应修复证书与信任链问题。