5
Mam kawałek kodu z serwisu PayPal:opcje PayPal cURL (CURLOPT_SSL_VERIFYPEER i CURLOPT_SSL_VERIFYHOST) wydaje
// turning off the server and peer verification(TrustManager Concept).
// really paypal??? why not just include a recent cert???
curl_setopt($ch, CURLOPT_SSL_VERIFYPEER, FALSE);
curl_setopt($ch, CURLOPT_SSL_VERIFYHOST, FALSE);
Jak widać w moim komentarzu Zastanawiam się dlaczego na ziemi paypal by wyłączyć te opcje.
Wiem (z poprzednich bólów głowy :)), że w systemie Windows cURL używa nieaktualnego pliku certyfikatów.
Ale muszę złożyć nowszej certs na moim serwerze, który może po prostu użyć:
curl_setopt($ch, CURLOPT_CAINFO, 'E:\path\to\curl-ca-bundle.crt');
Więc dlaczego PayPal „polecić” wyłączenie go, jeśli wszystko czego potrzeba, to użyć innego pliku (nowsze) certs.
Czy nie byłoby to bezpieczniejsze?
A może czegoś brakuje (jestem pewien, że firma PayPal ma wystarczającą ilość pieniędzy na ważny certyfikat: p)?
"w systemie Windows cURL używa nieaktualnego pliku certyfikatu" jest błędne. curl nie wysyła w ogóle żadnego pakietu certyfikatów CA, więc odpowiedzialność za aktualizację spada na użytkownika ... –
@ Daniel Stenberg: OK Minęło trochę czasu, odkąd musiałem użyć cURL na Windowsie. CURL był wysyłany z nieaktualnym pakietem certyfikatów do 7.18.0 (28 stycznia 2008 r. Wiem). :) A ty to wiesz ... – PeeHaa
Masz rację. Moje sformułowanie było niechlujne, ponieważ powinienem był wspomnieć, że kilka lat temu zawinął _did_ wysyła pakiet certyfikatów CA ... Przepraszam, i dzięki za wyjaśnienie tego! –