一、为什么有人想禁用HTTPS证书验证？

HTTPS的核心安全机制依赖于证书验证，但某些特殊场景下开发者可能需要临时禁用这一功能，例如：

1. 测试环境调试：自签名证书在开发阶段频繁触发警告。

2. 遗留系统兼容：旧设备无法识别新CA颁发的证书。

3. 抓包分析流量：安全人员需用Fiddler等工具解密HTTPS流量。

?? 注意：生产环境禁用证书验证会引发中间人攻击（MITM）风险，相当于“拆掉门锁用纸糊上”。

二、C代码禁用HTTPS验证的3种方法（以OpenSSL为例）

方法1：直接跳过所有验证（最危险！）

```c

SSL_CTX_set_verify(ctx, SSL_VERIFY_NONE, NULL); // 一句搞定，但等于裸奔

```

- 效果：客户端接受任何证书（包括伪造的）。

- 类比：快递员送包裹时，你不检查身份证直接签收。

方法2：自定义回调函数（可控但复杂）

int verify_callback(int preverify_ok, X509_STORE_CTX *ctx) {

return 1; // 强制返回“验证通过”

}

SSL_CTX_set_verify(ctx, SSL_VERIFY_PEER, verify_callback);

- 用途：可在此函数内添加日志或特定规则（如只信任某个指纹）。

方法3：仅忽略域名不匹配错误（相对安全）

X509_VERIFY_PARAM *param = SSL_CTX_get0_param(ctx);

X509_VERIFY_PARAM_set_hostflags(param, X509_CHECK_FLAG_NO_PARTIAL_WILDCARDS);

X509_VERIFY_PARAM_set0_host(param, "example.com", 0); // 正确域名应为example.com

- 适用场景：证书有效但域名配置错误时“放行”。

三、禁用证书的风险案例与防护建议

?? 真实案例：某金融APP被篡改API响应

2025年，某银行APP因测试代码残留`SSL_VERIFY_NONE`，攻击者伪造服务器返回“转账成功”提示，实际资金被窃取。

? 安全替代方案

| 需求场景 | 推荐做法 |

|--||

| 开发测试 | 使用自签名证书+本地CA导入信任库 |

| 抓包调试 | 仅限内网环境，并限制抓包工具证书有效期 |

| 老旧设备兼容 | 升级设备或配置固定证书指纹校验 |

四、进阶技巧：如何用C代码实现“指纹校验”？

若必须绕过CA验证，可用证书指纹（SHA256）做二次确认：

const char *valid_fingerprint = "A1:B2:..."; // 预存合法证书指纹

unsigned char fp[EVP_MAX_MD_SIZE];

unsigned int fp_len;

X509_digest(server_cert, EVP_sha256(), fp, &fp_len); // 获取服务端证书指纹

if (memcmp(fp, valid_fingerprint, fp_len) != 0) {

abort(); // 指纹不匹配则终止连接

五、要点表

| 行为 | 安全等级 | 适用场景 |

||--|-|

| SSL_VERIFY_NONE | ??高危 |绝对不推荐 |

|自定义回调+日志 | ??中危 |调试阶段临时使用 |

|严格指纹校验 | ??较安全 |无法更新CA的旧系统 |

> ?? 黄金法则：禁用HTTPS验证≈关闭防盗门。如果非做不可，至少加个“指纹锁”（证书指纹校验）！

TAG:C 代码 https如何禁用证书,