ThinkPHP怎样配置SSL证书路径_SSL证书路径配置【安全】

当你在ThinkPHP项目里调用HTTPS接口，或者需要连接一个开启了SSL的MySQL数据库时，如果迎面撞上“证书验证失败”、“cURL error 60”或是“PDO SSL connection error”这类报错，那问题十有八九出在SSL证书路径上——要么是路径没配对，要么是文件压根不可访问。

下面咱们就分场景聊聊，到底该怎么配置这些证书路径。

一、HTTP客户端请求中指定CA证书路径

ThinkPHP内置的Http门面，底层走的是cURL驱动。当你的代码要去请求第三方HTTPS接口时，如果系统自带的CA证书库已经过时或者干脆缺失了，那你就得手动丢一个可信的根证书文件路径给它。这个配置只影响单次请求，或者作为全局默认值，并不会去改动PHP底层的环境。

具体怎么操作？

1、先去下载最新的cacert.pem文件（比如从curl.se那个标准站点获取），把它放到服务器上一个绝对路径下，比如/var/www/cert/cacert.pem。

2、发HTTP请求时，显式把verify参数带上：
\think\facade\Http::get('https://api.example.com', ['verify' => '/var/www/cert/cacert.pem'])。

3、要是想全局生效，那就直接去config/http.php里配一下：
'default' => ['verify' => '/var/www/cert/cacert.pem']。

4、开发调试阶段图省事，可以临时把验证关掉，但切记——这只适合非生产环境：
'verify' => false。

二、MySQL数据库连接中配置SSL证书路径

在ThinkPHP 6+里，数据库的SSL配置得走database.php中的params数组，通过注入PDO原生的SSL属性来实现。证书路径必须是服务器本地的绝对路径，而且PHP进程得有权限读取。

步骤也不复杂：

1、先确认MySQL服务端已经启用了SSL，拿到对应的证书文件（ca.pem、client-cert.pem、client-key.pem），放到一个安全目录，比如/etc/mysql/ssl/。

2、编辑config/database.php，在目标数据库连接的params数组里，加上这个键值对：
PDO::MYSQL_ATTR_SSL_CA => '/etc/mysql/ssl/ca.pem'。

3、如果需要双向认证，再补充两行：
PDO::MYSQL_ATTR_SSL_CERT => '/etc/mysql/ssl/client-cert.pem'
PDO::MYSQL_ATTR_SSL_KEY => '/etc/mysql/ssl/client-key.pem'。

4、设置SSL模式，比如自签名证书推荐这么写：
PDO::MYSQL_ATTR_SSL_MODE => PDO::MYSQL_ATTR_SSL_MODE_REQUIRED。

5、特别提一句：params必须是关联数组，键名严格使用PDO常量，比如PDO::MYSQL_ATTR_SSL_CA，千万别自己编个字符串'mysql_attr_ssl_ca'出来，那是不会认的。

三、Web服务器层SSL证书路径配置（Nginx/Apache）

这里得厘清一个概念：ThinkPHP本身并不处理HTTPS协议的终止，SSL证书是由Web服务器（Nginx或Apache）加载并解密流量的。所以证书路径必须在Web服务器的虚拟主机配置里声明，跟PHP代码其实没什么关系。

标准操作流程：

1、把证书文件（比如fullchain.pem）和私钥（privkey.pem）上传到服务器固定路径，例如/etc/letsencrypt/live/example.com/。

2、在Nginx配置中，定位server块里监听443端口的那一段，加上两行：
ssl_certificate /etc/letsencrypt/live/example.com/fullchain.pem;
ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem;。

3、Apache的配置，对应的指令稍有不同：
SSLCertificateFile /etc/letsencrypt/live/example.com/fullchain.pem
SSLCertificateKeyFile /etc/letsencrypt/live/example.com/privkey.pem。

4、配完别忘了重启Web服务让配置生效：
sudo systemctl reload nginx 或 sudo systemctl reload apache2。

四、Swoole WebSocket服务启用WSS时配置证书路径

最后一种场景，是当你用ThinkPHP集成Swoole来提供WebSocket服务，并且需要支持WSS（WebSocket Secure）时。这种情况下，SSL证书路径必须在Swoole Server实例化时就传进去，不能指望通过HTTP中间件或者框架配置来间接设置——路子不对。

怎么做？

1、确认已经安装了topthink/think-swoole扩展，然后修改config/swoole_server.php。

2、在server配置项里，添加一个ssl子项：
'ssl' => true。

3、在setting中，指定证书和私钥的路径：
'ssl_cert_file' => '/etc/ssl/certs/server.crt'
'ssl_key_file' => '/etc/ssl/private/server.key'。

4、前提是你的Swoole扩展在编译时已经启用了SSL支持（加上了--enable-openssl参数）。

5、启动服务之前，务必检查一下证书文件的权限是否到位：
sudo chown www-data:www-data /etc/ssl/certs/server.crt /etc/ssl/private/server.key。

到这，四种常见的场景就都覆盖到了。值得留意的是，不同场景下证书路径的配置入口天差地别，有的在应用层代码里，有的在服务器配置里，千万别搞混了。