OmniAuth 和Facebook：证书验证失败

Question

我按照 Railscast #235 尝试设置最低限度的 Facebook 身份验证。

我首先设置了 Twitter 身份验证，正如 Ryan 本人所做的那样。这工作完美无缺。

然后我开始添加 Facebook 登录信息。但是，授权应用程序后，重定向到 /auth/facebook/callback 失败并显示：

SSL_connect returned=1 errno=0 state=SSLv3 read server certificate B: certificate verify failed

我正在本地主机上工作。我没有在应用程序中设置任何 SSL。我做错了什么？

Answer 1

真正的问题是 Faraday（Omniauth/Oauth 用于 HTTP 调用）不是 没有为 OpenSSL 设置 ca_path 变量。至少在 Ubuntu 上，大多数根证书都存储在“/etc/ssl/certs”中。由于 Faraday isn't 没有设置此变量 （并且当前没有方法这样做），因此 OpenSSL isn't 不是找不到 Facebook 的 SSL 证书的根证书。

我已经向 Faraday 提交了拉取请求，这将添加对此变量的支持希望他们能尽快做出改变。在那之前，您可以将法拉第打上猴子补丁，使其看起来像这个 或使用我的法拉第分叉。之后，您应该在 Gemspec 中指定 OAuth2 gem 版本 0.3.0，它支持将 SSL 选项传递给 Faraday。 现在您需要做的就是升级到 Faraday 0.6.1，它支持传递ca_path 变量并升级到 OmniAuth 0.2.2，它具有 OAuth2 的适当依赖项。然后，您只需将以下内容添加到 Omniauth 初始值设定项即可正确解决此问题：

Rails.application.config.middleware.use OmniAuth::Builder do
    provider :facebook, FACEBOOK_KEY, FACEBOOK_SECRET, {:client_options => {:ssl => {:ca_path => "/etc/ssl/certs"}}}
end

因此，回顾一下：

1. Faraday 需要更新以支持 SSL ca_path。 安装 Faraday 0.6.1
2. 您的应用需要使用 OAuth2 版本 0.3.0。您可能需要分叉omniauth，因为它当前在0.2.x树中具有次要版本依赖性。升级到OmniAuth 0.2.2
3. 修改您的提供程序初始值设定项以指向系统的证书路径（“/etc/ssl/certs” " on Ubuntu et al)

希望 Faraday 和 Omniauth 的下一个版本都将包含此解决方案。

感谢上面的 KirylP 让我走上了正确的道路。

Answer 2

我遇到了这个问题并尝试使用 :ca_path 参数但没有成功。在浏览了 Github 一段时间后，我发现了一个建议，提到使用 :ca_file 并直接指向认证。

Rails.application.config.middleware.use OmniAuth::Builder do
  provider :facebook, 'secret_key', 'secret_key',
   :client_options => {:ssl => {:ca_file => '/etc/pki/tls/certs/ca-bundle.crt'}}}
end

如果您需要获取系统认证文件（以及您使用的 Linux）的路径，只需从终端键入即可。这将为您提供有关 SSL 设置的大量信息，包括路径（请参阅 OPENSSSLDIR）。您需要将 certs/ca-bundle.crt 添加到提供的路径中。

open-ssl version -a

Answer 3

我使用的是 ubuntu 10.10 (Maverick)...在我让它工作之前挣扎了大约 6 个小时，分享我的经验

1. 没有尝试猴子补丁
2. 尝试过 {:client_options => {：ssl =>
   {:ca_path =>; "/etc/ssl/certs"}} 但仍然无法工作
3. 尝试了 ruby​​ 1.8.7 仍然无法工作
4. 尝试了不同版本的omniauth &法拉第，仍然没有运气。

唯一使它起作用的是以下（感谢亚历克斯）

if Rails.env.development? 
  OpenSSL::SSL::VERIFY_PEER = OpenSSL::SSL::VERIFY_NONE 
end

Answer 4

设法通过 SSL 证书验证，就像它必须的那样。
我的项目使用 37signals ID 进行 Basecamp 集成（Ruby 1.9.2-p130、Rails 3.0.4）。

RAILS_ROOT/config/initializers/omniauth.rb：

require 'omniauth/oauth'

Rails.application.config.middleware.use OmniAuth::Strategies::ThirtySevenSignals,
    'CLIENT_ID', 'CLIENT_SECRET', {client_options: {ssl: {ca_file: Rails.root.join('gd_bundle.crt').to_s}}}

module OAuth2
  class Client
    def initialize(client_id, client_secret, opts = {})
      adapter = opts.delete(:adapter)
      self.id = client_id
      self.secret = client_secret
      self.site = opts.delete(:site) if opts[:site]
      self.options = opts
      self.connection = Faraday::Connection.new(site, {ssl: opts.delete(:ssl)})
      self.json = opts.delete(:parse_json)        # ^ my code starts here

      if adapter && adapter != :test
        connection.build { |b| b.adapter(adapter) }
      end
    end
  end
end

您可以在 37signals.com 获取“CL​​IENT_ID”、“CLIENT_SECRET” 和来自 GoDaddy 的证书捆绑文件 gd_bundle.crt，因为 37signals 正在使用他们的CA。

Answer 5

如果您要部署到 Heroku，您需要指向特定的文件位置。这对我有用（在 config/initializers/omniauth.rb 中）：

Rails.application.config.middleware.use OmniAuth::Builder do
  # This cert location is only for Heroku
  provider :facebook, APP_ID, APP_SECRET, {:client_options => {:ssl => {:ca_file => "/usr/lib/ssl/certs/ca-certificates.crt"}}}
end

Answer 6

我用 CA 捆绑包解决了这个问题： http://certifie.com/ca-bundle/

并在我的设计初始值设定项：

:client_options => { :ssl => { :ca_file => "#{Rails.root}/config/ca-bundle.crt" } } }

Answer 7

看起来 Omniauth 现在使用的是更新版本的 Faraday，这解释了为什么上面的猴子补丁对我不起作用。我同意必须有更好的方法，但对于只需要让它工作来测试的其他人，这里有一个更新版本：（

使用以下代码在初始化器目录中创建一个文件）

require 'faraday'
module Faraday
class Adapter
 class NetHttp < Faraday::Adapter
  def call(env)
  super
  url = env[:url]
  req = env[:request]

  http = net_http_class(env).new(url.host, url.inferred_port)

  if http.use_ssl = (url.scheme == 'https' && env[:ssl])
    ssl = env[:ssl]
    http.verify_mode = OpenSSL::SSL::VERIFY_NONE
    http.cert        = ssl[:client_cert] if ssl[:client_cert]
    http.key         = ssl[:client_key]  if ssl[:client_key]
    http.ca_file     = ssl[:ca_file]     if ssl[:ca_file]
    http.cert_store  = ssl[:cert_store]  if ssl[:cert_store]
  end

  http.read_timeout = http.open_timeout = req[:timeout] if req[:timeout]
  http.open_timeout = req[:open_timeout]                if req[:open_timeout]

  if :get != env[:method]
    http_request = Net::HTTPGenericRequest.new \
      env[:method].to_s.upcase,    # request method
      !!env[:body],                # is there data
      true,                        # does net/http love you, true or false?
      url.request_uri,             # request uri path
      env[:request_headers]        # request headers

    if env[:body].respond_to?(:read)
      http_request.body_stream = env[:body]
      env[:body] = nil
    end
  end

  begin
    http_response = if :get == env[:method]
      # prefer `get` to `request` because the former handles gzip (ruby 1.9)
      http.get url.request_uri, env[:request_headers]
    else
      http.request http_request, env[:body]
    end
  rescue Errno::ECONNREFUSED
    raise Error::ConnectionFailed, $!
  end

  http_response.each_header do |key, value|
    response_headers(env)[key] = value
  end
  env.update :status => http_response.code.to_i, :body => http_response.body

  @app.call env
end
end
end
end

Answer 8

所有的解决方案都不适合我，然后我发现了这个

http:// railsapps.github.io/openssl-certificate-verify-failed.html

rvm osx-ssl-certs update all

osx 10.8 ruby​​ 2.0.0 通过 rvm

Answer 9

编辑：检查下面的答案，因为它更相关

这对我有用（修复由 https:/ /github.com/jspooner)：

使用以下猴子补丁在初始化程序的目录中创建一个文件：

require 'faraday'
module Faraday
class Adapter
 class NetHttp < Faraday::Adapter
  def call(env)
    super

    is_ssl = env[:url].scheme == 'https'

    http = net_http_class(env).new(env[:url].host, env[:url].port || (is_ssl ? 443 : 80))
    if http.use_ssl = is_ssl
      ssl = env[:ssl]
      if ssl[:verify] == false
        http.verify_mode = OpenSSL::SSL::VERIFY_NONE
      else
        http.verify_mode = OpenSSL::SSL::VERIFY_NONE # <= PATCH or HACK ssl[:verify]
      end
      http.cert    = ssl[:client_cert] if ssl[:client_cert]
      http.key     = ssl[:client_key]  if ssl[:client_key]
      http.ca_file = ssl[:ca_file]     if ssl[:ca_file]
    end
    req = env[:request]
    http.read_timeout = net.open_timeout = req[:timeout] if req[:timeout]
    http.open_timeout = req[:open_timeout]               if req[:open_timeout]

    full_path = full_path_for(env[:url].path, env[:url].query, env[:url].fragment)
    http_req  = Net::HTTPGenericRequest.new(
      env[:method].to_s.upcase,    # request method
      (env[:body] ? true : false), # is there data
      true,                        # does net/http love you, true or false?
      full_path,                   # request uri path
    env[:request_headers])       # request headers

    if env[:body].respond_to?(:read)
      http_req.body_stream = env[:body]
      env[:body] = nil
    end

    http_resp = http.request http_req, env[:body]

    resp_headers = {}
    http_resp.each_header do |key, value|
      resp_headers[key] = value
    end

    env.update \
      :status           => http_resp.code.to_i,
      :response_headers => resp_headers,
      :body             => http_resp.body

    @app.call env
  rescue Errno::ECONNREFUSED
    raise Error::ConnectionFailed.new(Errno::ECONNREFUSED)
  end

  def net_http_class(env)
    if proxy = env[:request][:proxy]
      Net::HTTP::Proxy(proxy[:uri].host, proxy[:uri].port, proxy[:user], proxy[:password])
    else
      Net::HTTP
    end
  end
 end
end
end

Answer 10

我正在使用 Faraday 0.6.1 和 OAUTH2（单独使用，没有被任何东西包裹）。这足以解决我的问题（在Gentoo上，应该在Ubunto上工作）

把这个

  client = OAuth2::Client.new(FACEBOOK_API_KEY, FACEBOOK_API_SECRET, :site => FACEBOOK_API_SITE)

变成这个

  client = OAuth2::Client.new(FACEBOOK_API_KEY, FACEBOOK_API_SECRET, :site => FACEBOOK_API_SITE, :ssl => {:ca_path => '/etc/ssl/certs' })

Answer 11

通过确保 openSSL 使用正确的证书目录解决了我的问题：

对于我的系统（ubuntu64），这是：
ENV['SSL_CERT_DIR'] = '/usr/share/ca-certificates/'

这是在 JRuby 1.6.0 中使用 jruby-openssl

我刚刚将此设置添加到development.rb

Answer 12

我知道这听起来微不足道，但请确保您使用正确的协议。我不断收到此错误，然后意识到我正在尝试通过 http 连接。浪费了1.5个小时，因为我是个白痴。

Answer 13

这似乎是 1.9.x 的问题。恢复到 1.8.7 解决了该问题。

Answer 14

如果您在 Leopard 上遇到问题，以下是我所做的，对您有帮助。

我的证书很旧，需要更新。我下载了这个：

http://curl.haxx.se/ca/cacert.pem

然后替换我在 Leopard 上找到的证书：

/usr/share/curl/curl-ca-bundle.crt

重新加载您正在访问它的任何内容，您应该可以开始了！

Answer 15

只是因为说明对我有用，所以我想添加我的 2 美分：

我在 OS X Lion 上并使用 macports 和 rvm

我安装了curl-ca-bundle：

sudo port install curl-ca-bundle

然后我将omniauth配置调整为这：

Rails.application.config.middleware.use OmniAuth::Builder do
  provider :google_oauth2, APP_CONFIG['CONSUMER_KEY'], APP_CONFIG['CONSUMER_SECRET'],
           :scope => 'https://www.google.com/m8/feeds https://www.googleapis.com/auth/userinfo.profile',
           :ssl => {:ca_path => "/share/curl/curl-ca-bundle.crt"}
end

Answer 16

在 Ubuntu 上，我所要做的就是将 /environments/development.rb 更新为：

Rails.application.config.middleware.use OmniAuth::Builder do
    provider :facebook, FACEBOOK_KEY, FACEBOOK_SECRET, {:client_options => {:ssl => {:ca_path => "/etc/ssl/certs"}}}
end

然后：

cd /etc/ssl/certs
sudo wget http://curl.haxx.se/ca/cacert.pem

wola！

Answer 17

我终于找到了山狮的修复方法。请参阅：http://coderwall.com/p/f4hyqw

rvm pkg install openssl
rvm reinstall 1.9.3 --with-openssl-dir=$rvm_path/usr

Answer 18

我在 Mountain Lion 上使用 RVM 时遇到了类似的错误。 Ruby 似乎找不到授权 SSL 连接所需的 CA 证书。您需要安装一个。这个解决方案成功了：

http://fredwu .me/post/28834446907/fix-openssl-error-on-mountain-lion-and-rvm

（虽然我实际上无法在浏览器中加载该页面，但我必须在 Google 缓存中找到它。 ）

这是简短的答案：

curl http://curl.haxx.se/ca/cacert.pem -o ~/.rvm/usr/ssl/cert.pem

就完成了。