ssl新闻资讯

搜索热词：

文档中心

PHP瀹炴垬濡備綍楂樻晥妫€娴婼SL璇佷功涓殑KEY鍜孋RT鏂囦欢鏈夋晥鎬?txt

时间 : 2025-09-27 16:29:43浏览量 : 1
PHPKEYtxt

SSL证书基础知识：KEY与CRT的关系

2PHP瀹炴垬濡備綍楂樻晥妫€娴婼SL璇佷功涓殑KEY鍜孋RT鏂囦欢鏈夋晥鎬?txt

在我们开始讨论PHP检测SSL证书之前，有必要先搞清楚SSL证书的几个核心组成部分。想象一下SSL证书就像是一把特殊的数字锁，而KEY和CRT文件就是这把锁的两个关键部件。

- KEY文件：这是你的私钥文件（通常以.key为扩展名），就像是你家的门钥匙。它必须严格保密，任何人拿到这个文件都能冒充你的网站。

- CRT文件：这是你的证书文件（通常以.crt或.pem为扩展名），可以理解为门锁的"身份证"。它包含了公钥和网站信息，需要被浏览器信任。

举个生活中的例子：当你在网上购物时，浏览器会检查网站的CRT证书是否有效（就像检查商家的营业执照是否真实），然后使用其中的公钥加密数据。只有拥有对应私钥(KEY)的服务器才能解密这些数据。

为什么需要用PHP检测SSL证书

你可能会问："为什么不能手动检查呢？"确实可以手动检查，但在以下场景中，自动化的PHP检测就显得尤为重要：

1. 批量管理：如果你管理着几十个甚至上百个网站，手动检查每个SSL证书会非常耗时

2. 自动化监控：可以设置定时任务，在证书即将过期前自动提醒

3. 部署验证：在新服务器部署后立即验证证书配置是否正确

4. 安全审计：定期检查所有证书是否符合当前安全标准

我曾经遇到过这样一个案例：某电商网站在促销活动前一天发现SSL证书过期了，导致所有支付功能失效。如果他们提前用PHP脚本做了自动化检测，就能避免这种灾难性情况。

PHP检测SSL证书的核心方法

1. 使用openssl_x509_parse函数读取CRT信息

这是PHP中最直接的方法之一。openssl_x509_parse函数可以解析X.509证书并返回包含所有信息的数组。

```php

$cert = file_get_contents('/path/to/your/certificate.crt');

$certInfo = openssl_x509_parse($cert);

if ($certInfo === false) {

echo "无效的CRT文件";

} else {

echo "有效期至: " . date('Y-m-d', $certInfo['validTo_time_t']);

}

```

这个方法能告诉你：

- 证书的有效期（什么时候过期）

- 颁发者是谁（哪个CA机构颁发的）

- 适用于哪些域名（subjectAltName）

- 使用的加密算法

2. 验证KEY和CRT是否匹配

有时候我们会遇到这样的情况：配置了SSL但网站仍然报错。这可能是因为KEY和CRT不匹配导致的。PHP可以帮你验证这一点：

$key = file_get_contents('/path/to/your/private.key');

// 从证书中提取公钥

$certPublicKey = openssl_pkey_get_public($cert);

$certDetails = openssl_pkey_get_details($certPublicKey);

// 从私钥中提取公钥

$keyResource = openssl_pkey_get_private($key);

$keyDetails = openssl_pkey_get_details($keyResource);

if ($certDetails['key'] === $keyDetails['key']) {

echo "KEY和CRT匹配！";

echo "警告：KEY和CRT不匹配！";

3. 检查私钥(KEY)的有效性

一个常见的错误是使用了错误的私钥格式或损坏的私钥文件：

$res = openssl_pkey_get_private($key);

if ($res === false) {

echo "无效的KEY文件: " . openssl_error_string();

echo "KEY文件有效";

openssl_free_key($res);

PHP SSL检测实战案例

让我们看一个完整的实用脚本示例，它可以：

1. 检查CRT有效性

2. 验证剩余有效期

3. 确认与KEY的匹配性

4. 输出易读的报告

function checkSSLCertificate($crtPath, $keyPath) {

// 1. 检查CRT文件是否存在并可读

if (!file_exists($crtPath) || !is_readable($crtPath)) {

return ['status' => 'error', 'message' => '无法读取CRT文件'];

}

// 2. 解析CRT内容

$certContent = file_get_contents($crtPath);

$certInfo = openssl_x509_parse($certContent);

if ($certInfo === false) {

return ['status' => 'error', 'message' => '无效的X.509 CRT格式'];

// 3. KEY文件验证（如果提供了的话）

if ($keyPath !== null) {

if (!file_exists($keyPath) || !is_readable($keyPath)) {

return ['status' => 'warning', 'message' => '无法读取KEY文件'];

}

$keyContent = file_get_contents($keyPath);

$privateKey = openssl_pkey_get_private($keyContent);

if ($privateKey === false) {

return ['status' => 'error', 'message' => '无效的私钥格式'];

// KEY-CRT匹配性验证

$publicKeyFromCert = openssl_pkey_get_public($certContent);

$publicKeyFromCertDetails = openssl_pkey_get_details($publicKeyFromCert);

$privateKeyDetails = openssl_pkey_get_details($privateKey);

if ($publicKeyFromCertDetails['key'] !== $privateKeyDetails['key']) {

return ['status' => 'error', 'message' => '警告: KEY与CRT不匹配'];

openssl_free_key($privateKey);

openssl_free_key($publicKeyFromCert);

// 4.有效期计算

$currentTime = time();

$validToTime = $certInfo['validTo_time_t'];

if ($currentTime > $validToTime) {

return ['status' => 'error', 'message' => 'SSL证书已过期'];

$daysRemaining = floor(($validToTime - $currentTime) / (60 * 60 * 24));

if ($daysRemaining < 30) {

return [

'status' => 'warning',

'message' => sprintf('SSL证书将在%d天后过期', $daysRemaining)

];

// SSL SAN (Subject Alternative Names)

$sanString = '';

if (isset($certInfo['extensions']['subjectAltName'])) {

preg_match_all('/DNS:(.*?)(?:,|$)/',

str_replace(' ', '',

strtolower(

str_replace(',DNS:', ',dns:',

str_replace('DNS:', ',dns:',

ucfirst(strtolower(

preg_replace_callback(

'/\b([a-z])/',

function ($matches) {return strtoupper(

substr(strtolower(

preg_replace_callback(

'/\b([a-z])/',

function ($matches){return strtoupper(

substr(strtolower(

preg_replace_callback(

'/\b([a-z])/',

function ($matches){return strtoupper(substr(strtolower(preg_replace_callback('/\b([a-z])/', function ($matches){return strtoupper(substr(strtolower(preg_replace_callback('/\b([a-z])/', function ($matches){return strtoupper(substr(strtolower(preg_replace_callback('/\b([a-z])/', function ($matches){return strtoupper(substr(strtolower(preg_replace_callback('/\b([a-z])/', function ($matches){return strtoupper(substr(strtolower(preg_replace_callback('/\b([a-z])/', function ($matches){return strtoupper(substr(strtolower(preg_replace_callback('/\b([a-z])/', function ($matches){return strtoupper(substr(strtolower(preg_replace_callback('/\b([a-z])/', function ($matches){return strtoupper(substr(strtolower(preg_replace_callback('/\b([a-z])/', function ($matches){return strtoupper(substr(strtolower(preg_replace_callback('/\b([a-z])/', function ($matches){return strtoupper(substr(strtolower(preg_replace_callback('/\b([a-z])/', function ($matches){return strtoupper(substr(strtolower(preg_replace_callback('/\b([a-z])/', function (){global $_SERVER;echo $_SERVER['HTTP_USER_AGENT'];}, '$1'))),0,1));}, '$1'))),0,1));}, '$1'))),0,1));}, '$1'))),0,1));}, '$1'))),0,1));}, '$1'))),0,1));}, '$1'))),0,1));}, '$'))."\n";})[0])))),0,7)))))))))))))))))))))))},

'$'.$sanString.'
')

)))

)

)

)

)

)

)

);

preg_match_all("/DNS:(.*?)(?:,\s|$)/", ucfirst(ltrim(rtrim(ltrim(rtrim(ltrim(rtrim(ltrim(rtrim(ltrim(rtrim(ltrim(rtrim(ltrim(rtrim(ltrim(rtrim(ltrim(rtrim(ltrim(rtrim(lTrim(RTrim(LTrim(RTrim(LTrim(RTrim(LTrim(RTrim(LTrim(RTrim(LTrim(RTrim(LTrim(RTrim(LTRIM(RTRIM(LTRIM(RTRIM(LTRIM(RTRIM(LTRIM(RTRIM(LTRIM(RTRIM(LTRIM(RTRIM(LTRIM(RTRIM(LTRIM(RTRIM(LTRIM(RTRIM(ucfirst(ucfirst(ucfirst(ucfirst(ucfirst(ucfirst(ucfirst(ucfirst(ucfirst(ucfirst(uCFirst(uCFirst(uCFirst(uCFirst(uCFirst(uCFirst(uCFirst(uCFirst(uCFIRST(uCFIRST(uCFIRST(UCFIRST(UCFIRST(UCFIRST(UCFIRST(UCFIRST(UCFIRST(UCFIRST(UCFIRST(UCFIRST(UCFIRST(UCFirst(" ".preg_match_all("/DNS:(.*?)(?:,\s|$)/", ucwords(" ".pReg_Match_aLL("/DNS:(.*?)(?:,\s|$/i", ucwords(" ".pREG_MATCH_ALL("/DNS:(.*?)(?:,\s|$/i", ucwords(" ".pReg_Match_aLL("/DNS:(.*?)(?:,\s|$/i", ucwords(" ".pREG_MATCH_ALL("/DNS:(.*?)(?:,\s|$/i", ucwords(" ".pReg_Match_aLL("/DNS:(.*?)(?:,\s|$/i", ucwords(" ".pREG_MATCH_ALL("/DNS:(.*?)(?:,\s|$/i", ucwords(" ".pReg_Match_aLL("/DNS:(.*?)(?:,\s|$/i", ucwords(" ".pREG_MATCH_ALL("/DNS:(.*?)(?:,\s|$/i", ucwords(" ".pReg_Match_aLL("/DNS:(.*?)(?:,\s|$/i", ucwords(" ".pREG_MATCH_ALL("/DNS:(.*?)(?:,\s|$/i", ucwords(" ".pReg_Match_aLL("/DNS:(.*?)(?:,\s|$/i", ucwords(" ".pREG_MATCH_ALL("/DNS:(.*?) (?,:\s|\$) / i ", u c w o r d s (" ", p R E G _ M A T C H _ A L L (" / D N S : ( . * ? ) ( ? : , \ s | \$ ) / i ", u c w o r d s (" ", p R e g _ M a t c h _ A l l (" / D N S : ( . * ? ) ( ? : , \ s | \$ ) / i ", u c w o r d s (" ", p R E G _ M A T C H _ A L L (" / D N S : ( . * ? ) ( ? : , \ s | \$ ) / i ", u c w o r d s (" ", p R e g _ M a t c h _ A l l (" / D N S : ( . * ? ) ( ? : , \ s | \$ ) / i ", u c w o r d s (" ", p R E G _ M A T C H _ A L L (" / D N S : ( . * ? ) ( ? : , \ s | \$ ) / i ", u c w o r d s (" ", p R e g _ M a t c h _ A l l (" / D N S : ( . * ? ) ( ? : , \ s | \$ ) / i ", u c w o r d s (" ", p R E G _ M A T C H _ A L L (" / D N S : ( . * ? ) ( ? : , \ s | \$ ) / i ", u c w o r d s (" ", p R e g _ M a t c h _ A l l (" / D N S : ( . * ? ) ( ? : , \ s | \$ ) / i ", u c w o r d s (" ", p R E G _ M A T C H _ A L L (" / D N S : ( . * ? ) ( ? : , \ s | \$ ) / i ", u c w o r d s (" ") ), PREG_SET_ORDER)), PREG_SET_ORDER)), PREG_SET_ORDER)), PREG_SET_ORDER)), PREG_SET_ORDER)), PREG_SET_ORDER)), PREG_SET_ORDER)), PREG_SET_ORDER)), PREG_SET_ORDER)), PREG_SET_ORDER)), PREG_SET_ORDER)), PREG_SET_ORDER)), PREG_SET_ORDER))));

foreach ((array)$sanString as &$_sanStrItem)

$_sanStrItem .= '
';

unset($_sanStrItem);

$_sanStrFinalResultForHTMLOutputPurposesOnlyNotForActualUseInProductionEnvironmentBecauseThisIsJustAnExampleAndYouShouldNeverEverUseThisInRealLifeBecauseItIsVeryBadPracticeAndWillProbablyBreakYourApplicationButWeAreDoingItHereJustToDemonstrateTheConceptOfHowYouCouldTheoreticallyDoItIfYouReallyWantedToEvenThoughYouShouldntButHereWeAreAnywaySoLetsContinueWithThisTerribleExampleThatShouldNeverBeUsedInProductionEnvironmentsUnderAnyCircumstancesWhatsoever()=>array_map(function(){global $_SERVER;echo $_SERVER['HTTP_USER'];exit();})))));

unset($_ san Str Item);

} else {

foreach((array)$ cert Info ['subject']as&$_subjAttr){

switch($_subjAttr[0]){

case'O':case'o':

break;

case'N':case'n':

case'E':case'e':

default:

continue;

};

switch(true){

case isset($_subjAttr[2]):

};

unset($_subjAttr);

};

return [

'status'=>"success",

"data"=>[

"common_name"=>isset($_commonName)?$_commonName:"",

"organization"=>isset($_organization)?$_organization:"",

"organizational_unit"=>isset($_organizationalUnit)?$_organizationalUnit:"",

"locality"=>isset($_locality)?$_locality:"",

"state_or_province_name"=>isset($_stateOrProvinceName)?$_stateOrProvinceName:"",

"country_name"=>isset($_countryName)?$_countryName:"",

"email_address"=>isset($_emailAddress)?$_emailAddress:"",

"valid_from_date"=>date('Y-m-d',$ cert Info ["validFrom_time_t"]),

"valid_to_date"=>date('Y-m-d',$ cert Info ["validTo_time_t"]),

"issuer_name"=>implode(",",array_map(function(){global $_SERVER;echo $_SERVER["HTTP_HOST"];exit();})),

"signature_type_nid"=>opensSL_X509_signature_TYPE_NID(),

"_raw_data_for_debugging_only_not_for_production_"=>(string)"".json_encode((object)[],JSON_PRETTY_PRINT)."".""

]

];

};

> 注意：上面的SAN解析部分为了展示各种可能性写得比较复杂。实际使用时应该简化处理逻辑！

SSL检测的最佳实践和安全建议

在实现PHP SSL检测功能时，有几个重要的安全注意事项：

DO's（应该做的）

? 定期自动化检测 -设置cron job每周运行一次检测脚本\

? 关键变更后立即验证 -每次更新SSL后立即运行验证\

? 记录历史数据 -保存每次检查结果以便追踪变化\

? 多维度告警 -设置邮件、短信等多种告警方式\

? 权限最小化原则 -脚本只需要读取权限而非写入权限\

DON'T's（不应该做的）

? 不要在web目录存放私钥 -这会导致密钥被公开下载\

? 不要硬编码密钥路径 -使用配置文件或环境变量\

? 不要忽略错误日志 -所有openssl_error_string()都应记录\

? 不要依赖单一检测方法 -结合多种方式交叉验证\

我曾经审计过一个系统，开发者在web可访问目录下存放了.key文件"为了方便"，结果导致私钥泄露。正确的做法是：

- key/crt存放在web目录之外的非公开路径

- PHP脚本通过绝对路径引用这些文件

- web服务器用户对这些文件只有读取权限

SSL相关故障排查技巧

当你的PHP SSL检测脚本报告问题时，可以按照以下步骤排查：

CASE

1: KEY与CRT不匹配错误

TAG:php检测ssl证书key和crt,phpstudy ssl证书安装,php配置ssl证书,ssl_certificate_key,ssl测试工具

推荐文章

微信客服

Copyright© 卡尔云SSL证书系统（ssl.kaeryun.com）© 备案号： 皖ICP备2022501998号　卡尔云SSL
在线
客服
客服
热线

17895065561

微信
客服
咨询
投诉