使用curl 时，出于安全原因，如何使我的cacert.pem 保持最新状态？

我想保持我的根证书为最新状态，以便与 cURL 和 PHP 内部一起使用curl命令，但是当前没有参数可以下载正确的安全连接所需的当前文件并使其保持最新。

以及使用示例curl在 PHP 中用于安全连接，需要一个名为cacert.pem（用于验证远程连接的PEM编码证书链）如下：

$ch = curl_init();
curl_setopt($ch, CURLOPT_URL, "https://www.google.com");
curl_setopt($ch, CURLOPT_CONNECTTIMEOUT, 15);
curl_setopt($ch, CURLOPT_TIMEOUT, 15);
curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);
curl_setopt($ch, CURLOPT_HEADER, 0);
curl_setopt($ch, CURLOPT_SSL_VERIFYPEER, 1);
curl_setopt($ch, CURLOPT_CAINFO, "pathto/cacert.pem");
curl_setopt($ch, CURLOPT_SSLVERSION, CURL_SSLVERSION_TLSv1_2);
if (!($data = curl_exec($ch))) {
    echo "No data received";
} else {
    echo strlen($data) + " total byte(s)";
}
curl_close($ch);

虽然大多数人只是简单地设置CURLOPT_SSL_VERIFYPEERfalse，从而忽略这个问题，这很糟糕 https://stackoverflow.com/a/4661467/3504007。你可以.

我所要求的是一种合法的方式来维护本地副本cacert.pem这样当我使用curl在PHP中与其他服务器通信，我可以继续这样做securely .

这不是对外部资源或异地链接等的请求，但是由于问题的性质，这可能是解决此问题的唯一方法，因为随着证书链被撤销，它需要持续更新。迄今为止，还没有办法获取此文件作为curl本身或php或php的curl库的发行版的一部分并继续维护它。虽然令人沮丧的是，这不是像这样简单的更新命令curl --update-root-ca那就太好了，它不以任何形式存在。

自从最初写这篇文章（以及这次重写）以来，我能够通过直接包含指向的链接来解决我自己的问题only维护此文件的合法来源，该文件由作者维护的网站上提供curl at 这个位置 http://curl.haxx.se/ca/cacert.pem

此外，随着技术的进步，这个问题已更新以展示如何使用curl在 PHP 中并强制 TLS v1.2 连接（某些交易提供商要求或推荐的东西，并且可能不提供有关如何执行此操作的信息）。

关于证书颁发机构，有一些关键的根颁发机构，例如：

• Symantec
• RapidSSL
• thawte
• GeoTrust
• Comodo

以及其他性质上的权威机构，例如

• 微软
• Mozilla
• Google

对于任何想要维护自己的 cacert.pem 的人来说，这都可以成为一个框架。请记住，您需要从相应的 crl 下载他们的吊销列表（已被破坏或过期的证书）以维护适当的信任机制，而您应该能够只下载他们的根证书链并使用这些证书作为本地权威文件，如 cacert.pem。