Windows / Perl / Net::SSLeay / OpenSSL：CA 证书从哪些位置加载？

Question

这是一个执行 HTTPS 请求的程序，开头有一些代码，我将在下面解释：

use 5.012;
use LWP::UserAgent;
use HTTP::Request::Common;
use Net::SSLeay;

BEGIN {
    return unless $^O eq 'MSWin32'; # only needed on Windows
    print STDERR "attempting to set HTTPS_CA_FILE to PEM file path\n";
    require Mozilla::CA; # load module to determine PEM file path
    my $pemfile = do {
        my $path = $INC{ 'Mozilla/CA.pm' };
        $path =~ s#\.pm$#/cacert.pem#;
        $path;
    };
    if ( -f $pemfile ) {
        $ENV{HTTPS_CA_FILE} = $pemfile;
        print STDERR "HTTPS_CA_FILE set to $pemfile\n";
    }
    else {
        warn "PEM file $pemfile missing";
    }
} # ==========================================================================

$Net::SSLeay::trace = 2;

my $ua = LWP::UserAgent->new;
my $req = GET 'https://client.billsafe.de/';
my $rsp = $ua->request( $req );

say $rsp->is_success ? 'success' : 'failure';
say $rsp->status_line;
say '=================';
say substr $rsp->decoded_content, 0, 200;
say '=================';

# possibly relevant module versions
for ( qw/Net::SSLeay Crypt::SSLeay LWP::Protocol::https Mozilla::CA/ ) {
    no strict 'refs';
    say $_, "\t", ${"${_}::VERSION"}
}

在开头的代码设置环境变量HTTPS_CA_FILE的PEM文件的值cacert.pem从Mozilla::CA那个被默认加载（我查使用procmon.exe，文件完全由默认读取）。

这样做显然是荒谬的设置的原因是我们有一些 Windows 机器 (Windows Server 2008)，当环境变量未设置时，SSL 设置失败，证书验证失败。为什么会这样对我们来说是个谜。它在其他具有相同版本的 Windows 机器上运行良好Net::SSLeay，LWP::Protocol::https和Mozilla::CA.

我们的模块版本是：

• 网络::SSLeay 1.36
• 地穴::SSLeay -/-
• LWP::协议::https 6.02
• Mozilla::CA 20110409

现在的问题是：除了cacert.pem，还有其他地方可以从这个星座（Windows、Perl、Net::SSLeay）中加载根证书吗？如果有，它们是什么？我在哪里可以阅读它？

更新

除了纯文件和纯目录之外，OpenSSL 文档没有提到任何证书存储：

• SSL_CTX_set_cert_store(3)
• SSL_CTX_load_verify_locations(3)

用于打开系统证书存储的 Windows C API 函数如下：

• 证书开放商店
• 证书开放系统商店

我从 CVS 中查看了 OpenSSL HEAD。该CertOpenStore函数确实用于engines/e_capi.c. 我没有进一步调查以找出用于访问相关服务器上 OpenSSL 版本中的商店的内容。

如果您进行网络搜索，您会发现有几个人想知道 OpenSSL 是否可以直接访问 Windows 证书存储，或者建议相应地修补 OpenSSL。TortoiseSVN 列表 (Windows Certificate Store / OpenSSL CAPI) 上还有这个最近的问题。需要更多的研究来找出这里的问题。

Answer 1

从 LWP 6.00 开始，您可以将 ssl_opts hashref 传递给 new 来指定证书文件以及其他选项：

my $ua = LWP::UserAgent->new(
    ssl_opts   => {
        verify_hostname => 1,
        SSL_cert_file   => $ssl_cert_file,
        SSL_key_file    => $ssl_key_file,
    },
);