C++ REST SDK (cpprestsdk) HTTPS 通信

SSL/TLS 证书验证全过程解析

文档版本: 1.2 | 最后更新日期: 2025-09-12 | 作者: oqs

概述

C++ REST SDK (cpprestsdk) 使用 SSL/TLS 访问 HTTPS 站点的过程是一套复杂的交互协议，其核心目的是为了验证网站身份的真实性并加密通信数据，防止信息被窃听或篡改。整个过程建立在标准的 TLS 握手基础之上，cpprestsdk 作为客户端封装了其中的复杂性。

完整交互过程

一次完整的 HTTPS 请求包含四个主要阶段：

1. TCP 连接建立
2. TLS 握手与安全通道建立 (核心)
3. HTTP 应用数据交换
4. 连接终止

阶段一：TCP 连接建立

1. 客户端初始化
   应用程序创建 web::http::client::http_client 对象，并提供目标 HTTPS URL（例如 https://api.example.com）。

2. 解析与连接
   cpprestsdk 库从 URL 中解析出主机名（api.example.com），并默认使用端口 443。底层网络库（基于 Asio）通过操作系统网络栈与服务器进行 TCP 三次握手。

3. 连接就绪
   可靠的传输层 TCP 连接建立成功，为后续的 TLS 握手准备好通道。

阶段二：TLS 握手与证书验证 (核心)

这是整个过程中最关键的阶段，其核心任务是身份认证和密钥协商。

TLS 握手流程

1. Client Hello
   cpprestsdk（客户端）向服务器发送一条 ClientHello 消息。
   消息内容包含：客户端支持的 TLS 协议版本、支持的密码套件列表、一个客户端生成的随机数。

2. Server Hello & Certificate
   服务器回应一条 ServerHello 消息，其中包含：双方协商确定的协议版本和密码套件、一个服务器生成的随机数。
   服务器发送其数字证书链。这个链条通常包括：

   • **服务器地址证书 (Leaf Certificate)**：包含域名 api.example.com 和公钥。
   • **一个或多个中间证书 (Intermediate Certificates)**：用于链接到根证书。

3. 证书验证 (cpprestsdk 核心动作)

   • 接收证书：cpprestsdk 底层依赖的 SSL 库（如 OpenSSL, SChannel）接收到服务器发来的证书链。
   • 验证决策：验证行为由 http_client_config 的配置决定，分为两条路径：
     • 路径 A - 自定义验证回调：如果通过 set_certificate_callback() 设置了自定义函数，则完全绕过系统默认验证，直接调用该函数。
     • 路径 B - 系统默认验证：如果未设置自定义回调，则使用系统 SSL 库的严格验证流程。
   • 系统验证步骤：
     1. 构建信任链：尝试使用客户端系统预装的受信任根证书颁发机构 (Trusted Root CAs) 的证书库，构建一条从服务器证书到可信根的完整链条。
     2. 签名检查：使用上级 CA 证书的公钥验证下级证书的数字签名是否有效。
     3. 有效期检查：检查证书是否在 notBefore 和 notAfter 的有效期内。
     4. 域名检查：检查证书的 Subject Alternative Name (SAN) 或 Common Name (CN) 字段是否与请求的主机名精确匹配。SAN 优先于 CN。
     5. **吊销状态检查 (可选)**：通过 CRL（证书吊销列表） 或 OCSP（在线证书状态协议） 查询证书是否已被签发机构吊销。
   • 验证结果：
     • 成功：继续执行后续步骤。
     • 失败：SSL 库会抛出错误，cpprestsdk 将其捕获并转换为异常抛出给应用程序，握手终止。

4. 密钥交换
   客户端生成一个 预主密钥 (Premaster Secret)。
   客户端使用步骤 2 中收到的服务器公钥（来自服务器证书）加密这个预主密钥，并通过 ClientKeyExchange 消息发送给服务器。
   只有拥有对应私钥的服务器才能解密获得预主密钥。

5. 生成会话密钥与完成握手
   客户端和服务器使用之前交换的两个随机数和预主密钥，独立生成相同的会话密钥。这些对称密钥将用于后续通信的加密和完整性验证。
   双方交换 ChangeCipherSpec 和 Finished 消息，确认握手成功。
   安全加密通道正式建立，之后所有通信都将使用会话密钥进行加密和解密。

阶段三：HTTP 应用数据交换

阶段四：连接终止

CppRestSDK 中的关键代码与配置

基本使用（推荐：使用系统信任库）

这是最常见、最安全的方式，代码非常简单。cpprestsdk 会自动使用操作系统的受信任根证书存储进行验证。

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19

#include <cpprest/http_client.h>
#include <cpprest/filestream.h>

using namespace web::http::client;

void simple_https_request() {
    // 系统CA存储被隐式使用。只需创建客户端并发送请求。
    http_client client(U("https://www.example.com/api/data")); 

    client.request(web::http::methods::GET)
        .then([](http_response response) {
            // TLS握手、加密、解密都已自动完成
            std::wcout << L"Status: " << response.status_code() << std::endl;
            return response.extract_string();
        })
        .then([](std::string body) {
            std::cout << "Response: " << body << std::endl;
        }).wait(); // 使用 .get() 亦可
}

危险配置：禁用证书验证（仅用于测试！）

警告： 此配置会完全禁用所有证书检查，使连接极易受到中间人攻击。绝对不要在生产环境中使用。

1
2
3
4
5
6
7
8
9
10
11
12
13
14

#include <cpprest/http_client.h>

void insecure_request() {
    http_client_config config;
    config.set_validate_certificates(false); // 关闭所有证书验证

    http_client client(U("https://self-signed.badssl.com/"), config);

    // 此时会接受任何证书，包括自签名、过期或域名不匹配的证书。
    client.request(web::http::methods::GET)
        .then([](http_response response) {
            // ... 处理响应 ...
        }).wait();
}

高级配置：自定义证书验证回调

提供灵活性，但需自行实现所有安全逻辑，通常用于证书钉钉（Pinning）或特殊测试。

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32

#include <cpprest/http_client.h>

// 自定义证书验证回调函数
bool my_certificate_callback(web::http::client::native_handle_type handle, const std::string& host) {
    // 参数:
    // - handle: 底层SSL库的上下文句柄（如OpenSSL的X509_STORE_CTX*）
    // - host: 正在连接的主机名

    // 这是一个高级接口，需要直接操作底层SSL库的API（如OpenSSL）。
    // 示例逻辑（伪代码）:
    // 1. 从 `handle` 中获取服务器证书链。
    // 2. 提取叶子证书的公钥或指纹（如SHA-256）。
    // 3. 与代码中预埋的预期值进行比较（证书钉钉）。
    // 4. 如果匹配，返回 true；否则返回 false。

    // 注意：返回 true 将接受证书，返回 false 将拒绝连接并抛出异常。
    // 对于测试，可以简单返回 true 来接受所有证书（效果同set_validate_certificates(false)）。
    return true; // 谨慎使用！
}

void custom_validation_request() {
    http_client_config config;
    // 设置自定义回调函数。一旦设置，系统默认验证将被绕过。
    config.set_certificate_callback(my_certificate_callback);

    http_client client(U("https://example.com"), config);

    client.request(web::http::methods::GET)
        .then([](http_response response) {
            // ... 处理响应 ...
        }).wait();
}

核心概念

• SSL/TLS 协议
• 非对称加密
• 对称加密
• 数字证书
• 证书颁发机构 (CA)
• 公钥基础设施 (PKI)
• 证书链验证
• 证书钉钉 (Pinning)

证书类型

最佳实践

• 始终启用证书验证
• 保持系统根证书库更新
• 在生产环境中绝不禁用验证
• 使用强密码套件
• 考虑证书钉钉以提高安全性
• 正确处理SSL/TLS错误和异常

常见错误

• 证书链不完整
• 证书域名不匹配
• 证书已过期或未生效
• 根证书不受信任
• 证书已被吊销
• SSL/TLS 版本不匹配

总结与最佳实践