svn 不会接受证书，但 s_client 接受

Question

当针对我们的 svn 服务器运行 svn 时，我收到此错误（域名和指纹已编辑）：

Error validating server certificate for 'https://svn.example.org:443':
  - The certificate has expired.
  - The certificate has an unknown error.
Certificate information:
  - Hostname: mail.example.org
  - Valid: from Fri, 24 Sep 2010 13:05:10 GMT until Wed, 09 Feb 2011
15:24:52 GMT
  - Issuer: 07969287, http://certificates.godaddy.com/repository,
GoDaddy.com, Inc., Scottsdale, Arizona, US
  - Fingerprint: 00:e5:....
(R)eject or accept (t)emporarily? t

所以一个错误说它已过期，几行后它说过期日期是 2011。然后有一个未知错误。这是 svn 1.6 - 旧版本有一个接受永久选项。

我还尝试运行 openssl s_client 来检查证书：

openssl s_client -host svn.example.org -port 443 -verify 5 -CApath /etc/ssl/certs

在我得到的其他输出中：

New, TLSv1/SSLv3, Cipher is DHE-RSA-AES256-SHA
Server public key is 2048 bit
Secure Renegotiation IS supported
Compression: zlib compression
Expansion: zlib compression
SSL-Session:
    Protocol  : TLSv1
    Cipher    : DHE-RSA-AES256-SHA
    Session-ID: 7604...
    Session-ID-ctx: 
    Master-Key: 22AB...
    Key-Arg   : None
    Compression: 1 (zlib compression)
    Start Time: 1288804434
    Timeout   : 300 (sec)
    Verify return code: 0 (ok)

这表明 SSL 设置正确。

我唯一能想到的是，我们使用的是多域证书，mail.example.org 是主题 CN，svn.example.org 列在 subjectAltName 部分中。

这影响了很多人，我不希望我们的客户必须处理这个问题，所以我真的想要一个解决方案来消除这个错误，而不是仅仅为我修复它。任何帮助表示赞赏。

编辑：我可以在网络浏览器中加载https://svn.example.org/并且它不会抱怨。我可以通过网络浏览器查看证书层次结构，并且链中的所有证书都没有过期。

我已经按照 Bruno 的建议检查了 ldd svn ，它与 libgnutls 链接，而 openssl 与 libssl 链接。是否有与使用 libgnutls 的 s_client 命令等效的命令？

Edit2：（这样以后的人很容易找到）。 svn 使用 gnutls 库而不是 ssl 库，并且 gnutls 比 ssl 更严格。因此，为了查看错误，您需要使用gnutls-cli。就我而言，gnutls 不喜欢证书的顺序，即使它们都在那里。请参阅之前的链接了解更多详细信息。

Answer 1

我不确定它是否能解决您的问题，但是您可以在 ~/.subversion/servers 中配置一个 ssl-authority-files 选项（您可以限制它）我认为，如果您愿意的话，可以发送给某些主机）。

此外，您的 svn 版本可能与其 SSL/TLS 堆栈的 OpenSSL 链接到另一个库，例如 GnuTLS（这应该可以使用 ldd 在svn 二进制文件）。

（您是否检查过CA证书是否已过期，而不是服务器证书本身？）