【PHP8.x】CURLOPT_ISSUERCERT定数の使い方

Copy
1<?php
2
3/**
4 * SSLクライアント認証を伴うHTTPSリクエストを実行する関数。
5 *
6 * この関数はCURLOPT_ISSUERCERTの使用方法を示します。
7 * CURLOPT_ISSUERCERTは、クライアント証明書 (CURLOPT_SSLCERT) を発行した
8 * 認証局 (CA) の証明書ファイルへのパスを指定するために使用されます。
9 * これは主に、相互SSL/TLS認証のシナリオで、クライアント側がサーバーに対して
10 * 自身の証明書を提示し、その証明書が信頼できるものであることをサーバーが検証する際に役立ちます。
11 *
12 * @param string $url リクエスト先のURL。例: 'https://api.example.com/'
13 * @param string $clientCertPath クライアント証明書ファイルへのパス。例: '/path/to/client_cert.pem'
14 * @param string $clientKeyPath クライアント秘密鍵ファイルへのパス。例: '/path/to/client_key.key'
15 * @param string $issuerCertPath クライアント証明書の発行者証明書（CA証明書）ファイルへのパス。
16 *                                例: '/path/to/issuer_ca_cert.pem'
17 * @return string|false リクエストが成功した場合はレスポンス本文、失敗した場合は false。
18 */
19function performSslClientAuthRequest(
20    string $url,
21    string $clientCertPath,
22    string $clientKeyPath,
23    string $issuerCertPath
24): string|false {
25    $ch = curl_init();
26
27    if ($ch === false) {
28        echo "cURL初期化に失敗しました。\n";
29        return false;
30    }
31
32    // cURL基本設定
33    curl_setopt($ch, CURLOPT_URL, $url);
34    curl_setopt($ch, CURLOPT_RETURNTRANSFER, true); // レスポンスを文字列として返す
35
36    // SSL/TLS関連設定
37    // サーバー証明書の検証を有効にする
38    curl_setopt($ch, CURLOPT_SSL_VERIFYPEER, true);
39    // サーバー証明書のホスト名を検証する
40    curl_setopt($ch, CURLOPT_SSL_VERIFYHOST, 2);
41
42    // クライアント証明書の設定 (CURLOPT_SSLCERT)
43    // サーバーに提示するクライアント証明書へのパスを指定します。
44    // これがないとクライアント認証は行えません。
45    if (!empty($clientCertPath)) {
46        curl_setopt($ch, CURLOPT_SSLCERT, $clientCertPath);
47    } else {
48        echo "警告: クライアント証明書パスが指定されていません。\n";
49    }
50
51    // クライアント秘密鍵の設定 (CURLOPT_SSLKEY)
52    // クライアント証明書に対応する秘密鍵へのパスを指定します。
53    if (!empty($clientKeyPath)) {
54        curl_setopt($ch, CURLOPT_SSLKEY, $clientKeyPath);
55    } else {
56        echo "警告: クライアント秘密鍵パスが指定されていません。\n";
57    }
58
59    // クライアント証明書の発行者証明書の設定 (CURLOPT_ISSUERCERT)
60    // CURLOPT_ISSUERCERT は、クライアント証明書 (CURLOPT_SSLCERT で指定されたもの) を
61    // 発行した認証局 (CA) の証明書ファイルへのパスを設定します。
62    // これは、サーバーがクライアント証明書の信頼性を検証する際に役立ちます。
63    if (!empty($issuerCertPath)) {
64        curl_setopt($ch, CURLOPT_ISSUERCERT, $issuerCertPath);
65    } else {
66        echo "警告: 発行者証明書パスが指定されていません。\n";
67    }
68
69    $response = curl_exec($ch);
70
71    if (curl_errno($ch)) {
72        echo 'cURLエラー (' . curl_errno($ch) . '): ' . curl_error($ch) . "\n";
73        $response = false;
74    } else {
75        $httpCode = curl_getinfo($ch, CURLINFO_HTTP_CODE);
76        echo "HTTPステータスコード: " . $httpCode . "\n";
77    }
78
79    curl_close($ch);
80
81    return $response;
82}
83
84// --- 使用例 ---
85// 注意: 以下のパスはダミーです。
86// 実際にこのコードを実行するには、有効なURLと、有効な証明書/鍵ファイルのパスに置き換える必要があります。
87// ファイルが存在しない場合、cURLエラーが発生します。
88$targetUrl = 'https://example.com/'; // 相互認証に対応したテストサーバーURLに変更してください
89$dummyClientCert = './client_certificate.pem'; // 実際のクライアント証明書パスに置き換えてください
90$dummyClientKey = './client_private_key.key'; // 実際のクライアント秘密鍵パスに置き換えてください
91$dummyIssuerCert = './issuer_ca_certificate.pem'; // 実際のCA証明書パスに置き換えてください
92
93echo "CURLOPT_ISSUERCERT を使用したSSLクライアント認証リクエストの試行...\n";
94$result = performSslClientAuthRequest(
95    $targetUrl,
96    $dummyClientCert,
97    $dummyClientKey,
98    $dummyIssuerCert
99);
100
101if ($result !== false) {
102    echo "\nリクエストは成功しました。(実際のレスポンスは省略されることがあります)\n";
103    // echo "レスポンス:\n" . substr($result, 0, 500) . "...\n"; // レスポンスが長い場合は一部のみ表示
104} else {
105    echo "\nリクエストは失敗しました。上記のエラーメッセージを確認してください。\n";
106}

CURLOPT_ISSUERCERTは、PHPのcURL拡張機能でHTTPS通信時にSSLクライアント認証を行うための定数です。PHP 8以降で利用でき、CURLOPT_SSLCERTで指定するクライアント証明書を発行した認証局（CA）の証明書ファイルパスを設定するために使われます。

SSLクライアント認証では、クライアントがサーバーへ自身の身元を証明する証明書を提示します。サーバーは、この証明書が信頼できるかを確認するために、CURLOPT_ISSUERCERTで指定されたCA証明書を参照します。これにより、クライアント証明書が正当なCAによって発行されたものであることをサーバーが検証でき、通信の信頼性が向上します。

サンプルコードのperformSslClientAuthRequest関数では、curl_setopt関数を使ってCURLOPT_ISSUERCERTにCA証明書パスを設定しています。これは、クライアント証明書や秘密鍵（CURLOPT_SSLKEY）と組み合わせて使用され、クライアントがサーバーに自身の信頼性を伝えるために重要です。この定数自体に引数や戻り値はありませんが、cURLリクエストの認証処理において不可欠な情報を提供します。

Copy
1<?php
2
3/**
4 * SSL/TLSクライアント認証を用いた安全なHTTPリクエストを実行する関数。
5 *
6 * この関数は、指定されたURLに対して、クライアント証明書と秘密鍵を使用して
7 * SSL/TLSクライアント認証を行うHTTP GETリクエストを送信します。
8 * クライアント証明書の発行元CA証明書も検証に使用されます。
9 *
10 * 注意: このコードを実行するには、有効なクライアント証明書、秘密鍵、
11 *       およびクライアント証明書の発行元CA証明書ファイルが必要です。
12 *       これらのファイルは、通常、安全な場所に保存し、適切な権限を設定してください。
13 *
14 * @param string $url                リクエストを送信するURL。
15 * @param string $clientCertPath     クライアント証明書ファイルのパス (例: client.crt)。
16 * @param string $clientKeyPath      クライアント秘密鍵ファイルのパス (例: client.key)。
17 * @param string $clientCertType     クライアント証明書のタイプ (例: 'PEM', 'DER', 'P12')。
18 *                                   これは CURLOPT_SSLCERTTYPE オプションに相当します。
19 * @param string $issuerCertPath     クライアント証明書を発行したCAの証明書ファイルのパス。
20 *                                   これは CURLOPT_ISSUERCERT オプションに相当します。
21 * @param string|null $caInfoPath    サーバー証明書を検証するためのCAバンドルファイルのパス (省略可能)。
22 *                                   省略した場合、PHPのcURLはシステムのデフォルトCAを使用しようとします。
23 * @return string|false 成功した場合はレスポンスボディ、失敗した場合は false。
24 */
25function makeSecureClientAuthRequest(
26    string $url,
27    string $clientCertPath,
28    string $clientKeyPath,
29    string $clientCertType,
30    string $issuerCertPath,
31    ?string $caInfoPath = null
32): string|false {
33    // cURLセッションを初期化
34    $ch = curl_init();
35
36    if ($ch === false) {
37        // cURLの初期化に失敗した場合
38        error_log("cURLセッションの初期化に失敗しました。");
39        return false;
40    }
41
42    // cURLオプションを設定
43    curl_setopt($ch, CURLOPT_URL, $url);                  // リクエスト対象のURL
44    curl_setopt($ch, CURLOPT_RETURNTRANSFER, true);       // レスポンスを文字列として取得する
45
46    // SSL/TLSクライアント認証に必要なオプション
47    // クライアント証明書ファイルへのパス
48    curl_setopt($ch, CURLOPT_SSLCERT, $clientCertPath);
49    // クライアント秘密鍵ファイルへのパス
50    curl_setopt($ch, CURLOPT_SSLKEY, $clientKeyPath);
51    // クライアント証明書のファイルタイプを指定 (例: PEM, DER, P12)
52    curl_setopt($ch, CURLOPT_SSLCERTTYPE, $clientCertType);
53
54    // CURLOPT_ISSUERCERT: クライアント証明書の発行元CA証明書のパスを指定します。
55    // このオプションは、サーバーがクライアント証明書の発行元を検証するために使用します。
56    // これにより、クライアント証明書が正当なCAによって発行されたものであることを
57    // サーバーに示し、信頼性を確立します。
58    curl_setopt($ch, CURLOPT_ISSUERCERT, $issuerCertPath);
59
60    // サーバー証明書の検証を有効にする (本番環境では強く推奨)
61    curl_setopt($ch, CURLOPT_SSL_VERIFYPEER, true); // サーバー証明書の正当性を検証する
62    curl_setopt($ch, CURLOPT_SSL_VERIFYHOST, 2);    // サーバー証明書のCN/SANがホスト名と一致するか検証する
63
64    // サーバー証明書の検証に使用するCAバンドルを指定 (オプション)
65    if ($caInfoPath !== null) {
66        // 特定のCAを信頼する場合や、自己署名証明書を使用する場合に設定
67        curl_setopt($ch, CURLOPT_CAINFO, $caInfoPath);
68    }
69    // もし$caInfoPathがnullの場合、cURLはシステムのデフォルトのCA証明書ストアを使用しようとします。
70
71    // HTTPリクエストを実行
72    $response = curl_exec($ch);
73
74    // エラーチェック
75    if (curl_errno($ch)) {
76        // エラーが発生した場合
77        error_log("cURLエラー発生: " . curl_error($ch));
78        $response = false;
79    }
80
81    // cURLセッションを閉じる
82    curl_close($ch);
83
84    return $response;
85}
86
87// --- 実際の使用例 ---
88// 以下のファイルパスは仮のものです。
89// 実際には、クライアント証明書、秘密鍵、CA証明書を準備し、
90// それらの正しいパスを指定する必要があります。
91// 例:
92// $targetUrl        = 'https://example.com/api/secure_resource';
93// $clientCertFile   = '/path/to/your/client.crt';    // クライアント証明書
94// $clientKeyFile    = '/path/to/your/client.key';     // クライアント秘密鍵
95// $clientCertType   = 'PEM';                          // 証明書の形式 ('PEM', 'DER', 'P12' など)
96// $issuerCertFile   = '/path/to/your/ca.crt';         // クライアント証明書を発行したCAの証明書
97// $serverCaBundle   = '/path/to/your/server_ca_bundle.pem'; // サーバー証明書を検証するCA (省略可能)
98
99// このサンプルコードは実行環境にファイルが存在しないため、コメントアウトしています。
100// 実際の利用時には、上記のプレースホルダーを正しいパスとURLに置き換えてください。
101
102/*
103$targetUrl = 'https://example.com/secure_endpoint'; // クライアント認証が必要なURL
104$clientCertFile = __DIR__ . '/client.crt';             // クライアント証明書のパス (例: PEM形式)
105$clientKeyFile = __DIR__ . '/client.key';              // クライアント秘密鍵のパス (例: PEM形式)
106$clientCertType = 'PEM';                               // 証明書タイプ
107$issuerCertFile = __DIR__ . '/client_issuer.crt';      // クライアント証明書の発行元CA証明書
108
109// サーバー証明書検証用のCAバンドル (サーバーの証明書が自己署名の場合などに必要)
110// $serverCaBundleFile = __DIR__ . '/server_ca_bundle.pem';
111
112// リクエストを実行
113$result = makeSecureClientAuthRequest(
114    $targetUrl,
115    $clientCertFile,
116    $clientKeyFile,
117    $clientCertType,
118    $issuerCertFile
119    // $serverCaBundleFile // 必要であればコメントを外す
120);
121
122if ($result !== false) {
123    echo "リクエスト成功:\n" . $result . "\n";
124} else {
125    echo "リクエスト失敗。詳細についてはエラーログを確認してください。\n";
126}
127*/
128?>

CURLOPT_ISSUERCERTは、PHPのcURL拡張機能でSSL/TLS通信を行う際、クライアント認証において使用される定数です。この定数にクライアント証明書を発行したCA（認証局）の証明書ファイルのパスを指定することで、サーバー側がクライアント証明書の正当性を検証できるようになります。これにより、クライアントが信頼できる機関から証明書を受け取っていることをサーバーに伝え、安全な通信を確立します。

サンプルコードのmakeSecureClientAuthRequest関数では、curl_setopt($ch, CURLOPT_ISSUERCERT, $issuerCertPath);として設定されています。この関数は、引数で受け取ったURLに対して、$clientCertPath（クライアント証明書）、$clientKeyPath（秘密鍵）、$clientCertType（証明書のタイプ、CURLOPT_SSLCERTTYPEに相当）、そして$issuerCertPath（クライアント証明書の発行元CA証明書）を利用してHTTP GETリクエストを送信します。リクエストが成功すればサーバーからのレスポンスボディを文字列として返し、失敗した場合はfalseを返します。

この設定は、サーバーがクライアントからの接続を受け入れる前に、クライアントの身元を厳密に確認する「クライアント認証」の際に特に重要です。証明書ファイルはセキュリティ上非常に重要であり、本番環境では適切なアクセス権限を設定し、厳重に管理する必要があります。