解决 AWS S3 PHP SDK 访问时 SSL 证书验证失败问题-php教程-PHP中文网

解决 AWS S3 PHP SDK 访问时 SSL 证书验证失败问题

花韻仙語

发布： 2025-10-06 12:50:01

原创

876人浏览过

解决 aws s3 php sdk 访问时 ssl 证书验证失败问题

在使用 AWS S3 PHP SDK 时，有时会遇到 SSL 证书验证失败的问题，导致无法正常访问 S3 上的文件。这通常表现为 "AWS HTTP error: Error creating resource: [message] fopen(): SSL operation failed with code 5" 等错误。本文旨在帮助开发者解决此类问题，确保 PHP 代码能够安全可靠地访问 S3 文件。

问题分析

当 PHP 代码通过 HTTPS 或 SFTP 协议访问 S3 文件时，如果无法验证 SSL 证书的有效性，就会出现上述错误。这通常是因为 PHP 无法找到或信任用于验证 S3 服务器 SSL 证书的根证书颁发机构 (CA)。

解决方案

立即学习“PHP免费学习笔记（深入）”；

解决此问题的关键在于配置 PHP 的 OpenSSL 扩展，使其能够找到并使用正确的 CA 证书。以下是两种常用的解决方案：

方法一：配置 php.ini 文件

找到 php.ini 文件： 确定 PHP 使用的 php.ini 文件的位置。可以使用 phpinfo() 函数来查找 "Loaded Configuration File" 对应的路径。
编辑 php.ini 文件： 使用文本编辑器打开 php.ini 文件，找到 openssl.cafile 选项。
指定 CA 证书路径： 取消 openssl.cafile 前面的注释符号（;），并将其值设置为 CA 证书文件的完整路径。如果系统没有可用的 CA 证书文件，可以从互联网上下载一个，例如 cacert.pem。确保下载的证书文件是可信的。
```
openssl.cafile = "/path/to/cacert.pem"
```
登录后复制
注意： 确保路径正确，且 PHP 进程有权限读取该文件。
重启 Web 服务器： 保存 php.ini 文件后，重启 Web 服务器（例如 Apache 或 Nginx）以使配置生效。

AI建筑知识问答
用人工智能ChatGPT帮你解答所有建筑问题

22

查看详情

方法二：使用 IAM 角色访问 ACM 证书

如果使用 AWS Certificate Manager (ACM) 管理 SSL 证书，可以通过 IAM 角色授予 PHP 服务器直接访问 ACM 证书的权限。

创建 IAM 角色： 在 AWS IAM 控制台中创建一个 IAM 角色，并将其附加到运行 PHP 代码的 EC2 实例或其他 AWS 服务上。

授予 ACM 访问权限： 为 IAM 角色添加一个 IAM 策略，允许其访问 ACM 证书。策略示例如下：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "acm:GetCertificate",
        "acm:DescribeCertificate"
      ],
      "Resource": [
        "arn:aws:acm:YOUR_REGION:YOUR_ACCOUNT_ID:certificate/YOUR_CERTIFICATE_ID"
      ]
    }
  ]
}

登录后复制

将 YOUR_REGION、YOUR_ACCOUNT_ID 和 YOUR_CERTIFICATE_ID 替换为实际的值。

在 PHP 代码中获取证书： 使用 AWS SDK for PHP 获取 ACM 证书的内容，并将其用于 SSL 连接。由于PHP SDK 本身不直接处理证书加载，通常需要结合其他工具或库来实现。一个简化的概念示例（请注意，此示例需要根据实际环境和库进行调整）：

<?php

use Aws\Acm\AcmClient;
use Aws\Credentials\CredentialProvider;

// 配置 AWS 客户端
$provider = CredentialProvider::defaultProvider(); // 使用默认的凭证提供者
$acmClient = new AcmClient([
    'version' => 'latest',
    'region' => 'YOUR_REGION', // 替换为你的 AWS 区域
    'credentials' => $provider
]);

$certificateArn = 'arn:aws:acm:YOUR_REGION:YOUR_ACCOUNT_ID:certificate/YOUR_CERTIFICATE_ID'; // 替换为你的 ACM 证书 ARN

try {
    // 获取证书
    $result = $acmClient->getCertificate([
        'CertificateArn' => $certificateArn,
    ]);

    $certificate = $result['Certificate'];
    $privateKey = $result['PrivateKey'];
    $certificateChain = $result['CertificateChain'];

    // 现在你可以使用这些证书信息进行 SSL 连接
    // 如何使用取决于你使用的 SSL 连接库或方法
    // 例如，如果使用 stream_context_create，你可以这样设置：
    $contextOptions = [
        'ssl' => [
            'local_cert' => $certificate,
            'local_pk' => $privateKey,
            'cafile' => '/path/to/your/cacert.pem', // 仍然需要一个可信的 CA 证书
            'verify_peer' => true,
            'verify_peer_name' => true,
        ],
    ];

    $context = stream_context_create($contextOptions);

    // 然后将上下文传递给需要 SSL 连接的函数，例如 file_get_contents
    // $data = file_get_contents('https://example.com', false, $context);

} catch (\Aws\Exception\AwsException $e) {
    // 处理错误
    echo 'Error: ' . $e->getMessage() . "\n";
}

?>

登录后复制

重要提示： 上面的示例代码只是一个概念演示，实际应用中需要根据使用的 SSL 连接库进行调整。特别是，获取的私钥需要妥善保管，避免泄露。此外，即使使用 ACM 证书，仍然建议配置 openssl.cafile，以确保对其他 SSL 连接的有效性验证。

注意事项