openssl3.0中X509_STORE_CTX的用法

在 OpenSSL 3.0 中，X509_STORE_CTX 用于存储验证 X509 证书链的上下文信息，其主要作用是在证书链的验证过程中保存验证的状态信息，以及提供各种操作的接口，包括从不同源获取证书、验证证书链、处理证书策略等。

X509_STORE_CTX 包含了验证证书链所需的全部信息，包括待验证的证书（X509），当前证书的颁发者（X509），证书链（X509_STORE），以及验证状态等。同时，它还提供了一些常用的函数接口，例如 X509_STORE_CTX_init() 用于初始化 X509_STORE_CTX 结构体；X509_verify_cert() 用于验证证书链等。

使用 X509_STORE_CTX 验证证书链时，首先需要构造一个 X509_STORE_CTX 结构体，然后调用 X509_verify_cert() 函数进行验证。在验证过程中，OpenSSL 将根据预设的策略规则对证书进行验证，并将验证结果保存在 X509_STORE_CTX 结构体中。

相关问题

使用X509_STORE_CTX_init和X509_STORE_CTX_set_current_cert来设置上下文，并正确加载证书

`X509_STORE_CTX_init` 和 `X509_STORE_CTX_set_current_cert` 是用于 OpenSSL 库中，用于证书验证流程的一部分。在 OpenSSL 中，`X509_STORE_CTX` 结构体是一个上下文对象，它包含了关于当前正在进行的证书链验证的所有信息。

下面是一个简单的例子，展示了如何初始化上下文并设置当前证书：

#include <openssl/x509v3.h>
#include <openssl/store.h>

void setup_store_and_context(X509_STORE* store, X509* cert)
{
    // 初始化上下文
    X509_STORE_CTX *ctx = X509_STORE_CTX_new();
    if (ctx == NULL) {
        perror("Failed to create X509_STORE_CTX");
        return;
    }

    // 设置证书存储对象
    if (!X509_STORE_CTX_init(ctx, store, NULL, cert)) {
        opensslerr(X509_V_ERR_CTX init, "Error initializing context");
        X509_STORE_CTX_free(ctx);
        return;
    }

    // 设置当前证书
    if (!X509_STORE_CTX_set_current_cert(ctx, cert)) {
        opensslerr(X509_V_ERR_SET CURRENT CERT, "Error setting current certificate");
        X509_STORE_CTX_free(ctx);
        return;
    }
}

// opensslerr 函数用于处理 OpenSsl 错误
void opensslerr(int error_code, const char *error_msg) {
    ERR_print_errors_fp(stderr);
    fprintf(stderr, "%s: %s\n", error_msg, ERR_error_string(error_code, NULL));
}

int main()
{
    // 创建证书存储，添加证书等...
    X509_STORE *store = ...;

    // 创建证书实例
    X509 *cert = ...;

    // 调用函数设置上下文
    setup_store_and_context(store, cert);

    // 进行后续的证书验证操作...
    // ...

    // 清理资源
    X509_STORE_CTX_free(ctx);
    X509_free(cert);
    X509_STORE_free(store);

    return 0;
}

X509_STORE_add_cert

X509_STORE_add_cert 是 OpenSSL 库中的一个函数，用于将 X509 证书添加到 X.509 证书存储中。该函数的原型如下：

int X509_STORE_add_cert(X509_STORE *ctx, X509 *x);

其中，ctx 参数为 X.509 证书存储的指针，x 参数为要添加的 X509 证书的指针。该函数返回一个整数值，表示添加是否成功。如果返回值为 1，则添加成功；如果返回值为 0，则添加失败。

在使用该函数之前，需要先创建一个 X.509 证书存储，并将其设置为 SSL 连接的信任列表。然后，可以通过调用 X509_STORE_add_cert 函数，将要信任的 X509 证书添加到证书存储中。这样，在 SSL 连接建立时，SSL 库会使用证书存储中的证书来验证服务器发送的证书是否可信。