为什么PHP的cURL在发送https请求的时候可以不用设置CURLOPT_SSL_VERIFYPEER也能请求成功呢？

Question

我是在微信公众号开发的时候遇到的。

我经过百度搜索和PHP官网的各种文档得到以下结论：

1. CURLOPT_SSL_VERIFYPEER的默认值是1
2. CURLOPT_SSL_VERIFYHOST的默认值是2
3. 在https请求的时候还要加上pem证书，使用CURLOPT_CAINFO来实现。

但是，我实际开发的时候发现根本不用配置上面的几个项也能请求成功，代码如下：

//下面代码用于更改公众号菜单
public function changeMenu(){
    $wad = new WeixinAdvance();
    $access_token = $wad->access_token;
    $url = 'https://api.weixin.qq.com/cgi-bin/menu/create?access_token='.$access_token;
    $filePath = $_SERVER['DOCUMENT_ROOT']."/../cache2/json/menuconfig.json";
    $json = file_get_contents($filePath); //这是需要传输的json数据哈

    //开始curl请求的各种设置哈
    $curl = curl_init();
    curl_setopt($curl, CURLOPT_URL, $url);
    curl_setopt($curl, CURLOPT_HEADER, 1);
    curl_setopt($curl, CURLOPT_RETURNTRANSFER, 1);

    curl_setopt($curl, CURLOPT_POST, 1);
    curl_setopt($curl, CURLOPT_POSTFIELDS, $json);

    $output = curl_exec($curl);
    if(curl_errno($curl)){
        echo "存在错误代码：".curl_errno($curl);
    }
    curl_close($curl);
    return $output;
}

然后我就百思不得其解了，望高人指教！

Answer 1

CURLOPT_CATINFO的文档里说，它也是有默认值的：

This option is by default set to the system path where libcurl's cacert bundle is assumed to be stored, as established at build time.

所以在大家都有默认值的情况下，curl访问https会验证证书，并且它有自己的一套cacert bundle用于验证，正常网站一般应该都是可以过的。