PHP cURL 默认不验证SSL证书是因环境缺少CA证书或未配置CURLOPT_CAINFO，而非cURL本身默认禁用；必须同时设置CURLOPT_SSL_VERIFYPEER=>true、CURLOPT_SSL_VERIFYHOST=>2及有效的CURLOPT_CAINFO路径才能确保安全。
PHP cURL 请求默认不验证 SSL 证书？
不是“默认不验证”，而是 curl_setopt() 的默认行为取决于 PHP/cURL 编译时的配置和系统 CA 证书路径。很多开发环境（尤其是 Windows 或 Docker 容器）缺少可信 CA 证书包，或未正确设置 CURLOPT_CAINFO，导致 curl_exec() 实际跳过证书链校验——表面成功，实则存在中间人风险。
关键判断点：只要没显式启用证书验证，就不能认为 SSL 是安全的。常见错误是只设了 CURLOPT_SSL_VERIFYPEER => true，却没配 CURLOPT_CAINFO，此时 cURL 会静默失败（返回空或 false），但部分旧版本可能回退为不验证。
-
CURLOPT_SSL_VERIFYPEER => true：必须开启，否则不校验证书有效性 -
CURLOPT_SSL_VERIFYHOST => 2：必须为 2（验证域名匹配），设为 1 已被弃用且不严格 -
CURLOPT_CAINFO必须指向有效的 PEM 格式 CA 证书文件（如 Mozilla 的curl-ca-bundle.crt） - 若用
CURLOPT_CAPATH，需确保目录内证书已用c_rehash建索引
如何获取并指定可靠的 CA 证书文件？
别用自己随便下载的 crt 文件，优先复用系统或权威来源。Linux/macOS 通常已有系统级 CA 存储，PHP 可能未自动识别；Windows 和容器环境更常出问题。
- 推荐直接使用官方维护的
ca-bundle.crt：https://www.php.cn/link/5fe4dadcdb001d8566cd20e6d8a20251，保存为本地文件（如/path/to/cacert.pem） - Linux 上可尝试：
/etc/ssl/certs/ca-certificates.crt（Debian/Ubuntu）或/etc/pki/tls/certs/ca-bundle.crt（RHEL/CentOS） - macOS（Homebrew OpenSSL）：检查
$(brew --prefix openssl)/share/certs/ca-bundle.crt - Docker 中建议 COPY 进镜像，而非依赖基础镜像自带——很多 alpine 镜像的 ca-certificates 包不被 cURL 自动发现
示例代码片段：
立即学习“PHP免费学习笔记（深入）”；
$ch = curl_init('https://api.example.com');
curl_setopt($ch, CURLOPT_RETURNTRANSFER, true);
curl_setopt($ch, CURLOPT_SSL_VERIFYPEER, true);
curl_setopt($ch, CURLOPT_SSL_VERIFYHOST, 2);
curl_setopt($ch, CURLOPT_CAINFO, '/path/to/cacert.pem'); // ⚠️ 这行不能少
$response = curl_exec($ch);
if ($response === false) {
error_log('cURL error: ' . curl_error($ch));
}
curl_close($ch);
file_get_contents() + stream_context_create() 怎么配 SSL 验证？
它底层也走 OpenSSL，但配置项名称不同，容易漏掉关键参数。默认情况下 file_get_contents() 对 HTTPS 请求不验证证书，除非你明确设置上下文。
