【PHP8.x】CURLOPT_SSLKEY_BLOB定数の使い方

Copy
1<?php
2
3/**
4 * Executes a cURL request demonstrating client-side SSL authentication
5 * and explicit SSL/TLS version selection.
6 *
7 * This function showcases the use of CURLOPT_SSLKEY_BLOB to provide a private key
8 * directly from memory for client authentication (mutual TLS)
9 * and CURLOPT_SSLVERSION to specify the desired TLS protocol version.
10 *
11 * @param string $url The target URL (e.g., an HTTPS endpoint requiring client certificates).
12 * @param string $clientCertPem The client's SSL certificate content in PEM format.
13 * @param string $clientKeyPem The client's private key content in PEM format.
14 * @return string|false The response content on success, or false on failure.
15 */
16function makeCurlRequestWithClientAuth(string $url, string $clientCertPem, string $clientKeyPem)
17{
18    $ch = curl_init($url);
19
20    if (false === $ch) {
21        error_log('cURL initialization failed.');
22        return false;
23    }
24
25    // Configure cURL to return transfer as a string and not include headers.
26    curl_setopt($ch, CURLOPT_RETURNTRANSFER, true);
27    curl_setopt($ch, CURLOPT_HEADER, false);
28
29    // --- Demonstrate CURLOPT_SSLKEY_BLOB ---
30    // Set the client's private key directly from a string (blob).
31    // This is essential for client authentication (mutual TLS) where the server
32    // verifies the client's identity using this key.
33    curl_setopt($ch, CURLOPT_SSLKEY_BLOB, $clientKeyPem);
34    curl_setopt($ch, CURLOPT_SSLKEYTYPE, 'PEM'); // Specify the key type, typically 'PEM'.
35
36    // Also set the client's certificate directly from a string (blob).
37    // This certificate is typically paired with the private key for client authentication.
38    curl_setopt($ch, CURLOPT_SSLCERT_BLOB, $clientCertPem);
39    curl_setopt($ch, CURLOPT_SSLCERTTYPE, 'PEM'); // Specify the certificate type, typically 'PEM'.
40
41    // --- Demonstrate CURLOPT_SSLVERSION (related to the keyword) ---
42    // Explicitly set the desired SSL/TLS protocol version.
43    // CURL_SSLVERSION_TLSv1_2 is a widely supported and secure option.
44    // For PHP 8, newer versions like TLSv1_3 may also be available depending on your cURL library.
45    // Setting this helps enforce secure communication protocols.
46    curl_setopt($ch, CURLOPT_SSLVERSION, CURL_SSLVERSION_TLSv1_2);
47
48    // --- WARNING for Beginners: Security Considerations ---
49    // The following options disable peer and host verification.
50    // This is generally UNSAFE for production environments and is used here
51    // for demonstration purposes to avoid complex certificate setup errors.
52    // In production, ALWAYS verify SSL peers and hostnames by providing
53    // a trusted CA certificate bundle (e.g., CURLOPT_CAINFO) to prevent Man-in-the-Middle attacks.
54    curl_setopt($ch, CURLOPT_SSL_VERIFYPEER, false); // Do NOT use in production without understanding risks.
55    curl_setopt($ch, CURLOPT_SSL_VERIFYHOST, 0);   // Do NOT use in production without understanding risks. (Value 0 disables, 2 verifies, 1 is deprecated)
56
57    $response = curl_exec($ch);
58
59    if (curl_errno($ch)) {
60        error_log('cURL error: ' . curl_error($ch));
61        $response = false;
62    }
63
64    curl_close($ch);
65
66    return $response;
67}
68
69// --- Example Usage ---
70// IMPORTANT: Replace these dummy values with actual PEM-encoded client certificate
71// and private key content if you intend to connect to a server requiring them.
72// These are placeholders for demonstration purposes only.
73$dummyClientCert = <<<EOT
74-----BEGIN CERTIFICATE-----
75MIIDTjCCAjagAwIBAgIUSz8L2rW8tPz9wX4m3fJ0Z5X9M80wDQYJKoZIhvcNAQEL
76BQAwITEfMB0GA1UEAwwGZXhhbXBsZTAeFw0yMzEwMjcxMjMxNTlaFw0yNDEwMjYx
77... (truncated for brevity) ...
78K/q0M0N3A1o0M1A=
79-----END CERTIFICATE-----
80EOT;
81
82$dummyClientKey = <<<EOT
83-----BEGIN PRIVATE KEY-----
84MIIEvQIBADANBgkqhkiG9w0BAQEFAASCBKcwggSjAgEAAoIBAQDEo70L3f8+p7zJ
85YmP4s5t/qWw9Z9lG8Xn7d3y4p5q9C5r2B4wP7Q8l0W3gP6k9P9L9B8h7A0P9h7
86... (truncated for brevity) ...
87Q0N3A1o0M1A=
88-----END PRIVATE KEY-----
89EOT;
90
91// For this example, we'll use a public HTTPS URL like Google.
92// Note: Google does NOT require client certificates (mutual TLS). This example
93// primarily demonstrates *how to set* the CURLOPT_SSLKEY_BLOB and CURLOPT_SSLVERSION
94// options, even if the server doesn't actively use the client certificate.
95// To see client certificate authentication in action, you would need a server
96// specifically configured for mutual TLS.
97$targetUrl = 'https://www.google.com';
98
99echo "Attempting to make a cURL request to {$targetUrl} with client certificate authentication settings (using dummy cert/key)." . PHP_EOL;
100
101$responseContent = makeCurlRequestWithClientAuth($targetUrl, $dummyClientCert, $dummyClientKey);
102
103if (false !== $responseContent) {
104    echo 'cURL options for client certificate (CURLOPT_SSLKEY_BLOB) and SSL version were set.' . PHP_EOL;
105    echo 'Partial response from ' . $targetUrl . ': ' . substr($responseContent, 0, 200) . '...' . PHP_EOL;
106} else {
107    echo 'cURL request failed. Check error logs for details.' . PHP_EOL;
108}
109
110?>

このPHPサンプルコードは、cURL拡張機能を用いてHTTPSリクエストを行う際に、クライアント認証（相互TLS）のための秘密鍵や証明書を直接メモリから提供し、さらにSSL/TLSプロトコルバージョンを明示的に指定する方法を示しています。

makeCurlRequestWithClientAuth関数は、ターゲットURL、PEM形式のクライアント証明書、およびPEM形式のクライアント秘密鍵を引数として受け取ります。この関数はcURLセッションを初期化し、設定に基づいてHTTPSリクエストを実行します。リクエストが成功した場合、サーバーからの応答内容を文字列で返し、失敗した場合はfalseを返します。

CURLOPT_SSLKEY_BLOBは、クライアントの秘密鍵データをファイルパスではなく、PHPの変数に格納された文字列（バイナリラージオブジェクト、BLOB）として直接cURLに渡すために使用されます。これにより、クライアント認証が必要なサーバーへの接続時に、秘密鍵を柔軟に提供できます。この設定には、鍵の形式を示すCURLOPT_SSLKEYTYPE（通常は'PEM'）も合わせて使用されます。同様に、CURLOPT_SSLCERT_BLOBを用いてクライアント証明書も文字列として設定します。

CURLOPT_SSLVERSIONは、cURL通信で使用するSSL/TLSプロトコルの具体的なバージョンを指定する定数です。例えば、CURL_SSLVERSION_TLSv1_2を設定することで、TLS 1.2プロトコルを明示的に使用するようcURLに指示し、通信のセキュリティレベルを管理できます。

なお、サンプルコードではデモンストレーションのため、CURLOPT_SSL_VERIFYPEERとCURLOPT_SSL_VERIFYHOSTを無効にしていますが、本番環境では中間者攻撃を防ぐためにこれらの検証を必ず有効にしてください。このコードは、セキュアなHTTPS通信におけるクライアント認証とプロトコルバージョンの制御を学ぶ上で有用です。

Copy
1<?php
2
3/**
4 * プログラミング言語: PHP
5 * バージョン: 8
6 *
7 * システムエンジニアを目指す初心者向け:
8 * このコードは、HTTPS通信でサーバーの身元を確認し（SSL/TLS検証）、さらにクライアント自身の身元も
9 * 証明書と秘密鍵を使って認証する（クライアント認証）方法を示しています。
10 *
11 * `CURLOPT_SSLKEY_BLOB`:
12 * クライアントの秘密鍵をファイルではなく、メモリ上の文字列（BLOB = Binary Large Object）として指定します。
13 * PHP 8以降で利用可能です。
14 *
15 * `CURLOPT_SSL_VERIFYHOST` (キーワード関連):
16 * サーバーのSSL/TLS証明書に記載されているホスト名が、実際に接続しようとしているURLのホスト名と
17 * 一致するかどうかを検証します。セキュリティ上、`2`（ホスト名が一致するか検証）を設定することを強く推奨します。
18 * `0`（検証しない）は非推奨で、セキュリティリスクがあります。
19 */
20
21/**
22 * クライアント証明書認証とサーバー検証を伴う安全なcURLリクエストを実行します。
23 *
24 * @param string $url ターゲットURL (HTTPS).
25 * @param string $clientCertBlob クライアント証明書の内容 (PEM形式の文字列).
26 * @param string $clientKeyBlob クライアント秘密鍵の内容 (PEM形式の文字列).
27 * @param string|null $clientKeyPasswd クライアント秘密鍵のパスワード (パスワードがない場合はnull).
28 * @return string|false 成功した場合はレスポンスボディ、失敗した場合はfalse.
29 */
30function performSecureCurlRequestWithClientAuth(
31    string $url,
32    string $clientCertBlob,
33    string $clientKeyBlob,
34    ?string $clientKeyPasswd = null
35): string|false {
36    $ch = curl_init();
37
38    if ($ch === false) {
39        echo "エラー: cURLの初期化に失敗しました。\n";
40        return false;
41    }
42
43    curl_setopt($ch, CURLOPT_URL, $url);
44    curl_setopt($ch, CURLOPT_RETURNTRANSFER, true); // レスポンスを文字列として取得
45
46    // --- サーバー証明書の検証設定 (キーワード: CURLOPT_SSL_VERIFYHOST 関連) ---
47    // ピア（接続先サーバー）の証明書を検証することを有効にします。
48    curl_setopt($ch, CURLOPT_SSL_VERIFYPEER, true);
49    // サーバー証明書内のホスト名と接続先のホスト名が一致するか検証します。
50    // 2: 共通名 (CN) またはサブジェクト代替名 (SAN) が存在し、ホスト名と一致するか検証します。
51    // 1: 共通名が存在するかどうかを検証します (PHP 5.6で非推奨)。
52    // 0: ホスト名を検証しません (セキュリティリスクがあるため非推奨)。
53    curl_setopt($ch, CURLOPT_SSL_VERIFYHOST, 2);
54
55    // サーバー証明書を検証するためのCA証明書バンドルを指定します。
56    // 本番環境では、信頼できるCA証明書バンドルのパスを正確に設定する必要があります。
57    // 例: curl_setopt($ch, CURLOPT_CAINFO, '/etc/ssl/certs/ca-certificates.crt'); (Linux)
58    // 例: curl_setopt($ch, CURLOPT_CAINFO, 'C:\php\extras\ssl\cacert.pem'); (Windows)
59    // この設定がないと、ほとんどの場合CURLOPT_SSL_VERIFYPEERは失敗します。
60    // ここではデモンストレーションのためコメントアウトしていますが、実用上は必須です。
61    // curl_setopt($ch, CURLOPT_CAINFO, '/path/to/your/ca-bundle.pem');
62
63    // --- クライアント証明書認証設定 (参照: CURLOPT_SSLKEY_BLOB) ---
64    // クライアント証明書の内容をメモリ上の文字列（BLOB）として指定します。
65    // PHP 8以降で利用可能。ファイルから読み込む場合は CURLOPT_SSLCERT を使用します。
66    curl_setopt($ch, CURLOPT_SSLCERT_BLOB, $clientCertBlob);
67    // クライアント秘密鍵の内容をメモリ上の文字列（BLOB）として指定します。
68    // PHP 8以降で利用可能。ファイルから読み込む場合は CURLOPT_SSLKEY を使用します。
69    curl_setopt($ch, CURLOPT_SSLKEY_BLOB, $clientKeyBlob);
70
71    // クライアント秘密鍵がパスワードで保護されている場合、そのパスワードを指定します。
72    if ($clientKeyPasswd !== null) {
73        curl_setopt($ch, CURLOPT_SSLKEYPASSWD, $clientKeyPasswd);
74    }
75
76    $response = curl_exec($ch);
77
78    if ($response === false) {
79        echo "cURLエラー: " . curl_error($ch) . "\n";
80        echo "cURLエラー番号: " . curl_errno($ch) . "\n";
81    }
82
83    curl_close($ch);
84
85    return $response;
86}
87
88// --- 使用例 ---
89// 以下の証明書と秘密鍵はデモンストレーション用のダミーデータです。
90// 実際のアプリケーションでは、本物のクライアント証明書と秘密鍵の内容をここにロードします。
91// （例: ファイルから file_get_contents() で読み込むなど）
92
93// ダミークライアント証明書 (PEM形式)
94$dummyClientCert = <<<EOT
95-----BEGIN CERTIFICATE-----
96MIICGTCCAgGgAwIBAgIUWjY0... (ここに実際のクライアント証明書の内容を記述) ...w==
97-----END CERTIFICATE-----
98EOT;
99
100// ダミークライアント秘密鍵 (PEM形式)
101$dummyClientKey = <<<EOT
102-----BEGIN PRIVATE KEY-----
103MIIEvQIBADANBgkqhkiG... (ここに実際のクライアント秘密鍵の内容を記述) ...zP0=
104-----END PRIVATE KEY-----
105EOT;
106
107// ダミー秘密鍵パスワード (鍵にパスワードがない場合は null を設定)
108$dummyClientKeyPasswd = null; // 例: 'my_secret_key_password';
109
110// ターゲットURL (クライアント認証を要求する実際のHTTPSエンドポイントに置き換えてください)
111// このURLは単なるプレースホルダーであり、このコードを実行しても動作しない可能性があります。
112// 実際に動作させるには、有効な証明書と秘密鍵、およびクライアント認証を要求するサーバーが必要です。
113$targetUrl = 'https://example.com/secure-api';
114
115echo "cURLリクエストの実行を試みています...\n";
116$result = performSecureCurlRequestWithClientAuth(
117    $targetUrl,
118    $dummyClientCert,
119    $dummyClientKey,
120    $dummyClientKeyPasswd
121);
122
123if ($result !== false) {
124    echo "リクエストが成功しました。レスポンス (一部):\n";
125    echo mb_substr($result, 0, 200) . "...\n"; // レスポンスが長い場合のため一部表示
126} else {
127    echo "リクエストが失敗しました。上記のエラーメッセージを確認してください。\n";
128}
129

このサンプルコードは、PHPのcURL拡張機能を利用して、HTTPS通信におけるクライアント認証とサーバー検証を行う方法を示しています。特にCURLOPT_SSLKEY_BLOB定数は、クライアント認証に必要な秘密鍵の情報をファイルから読み込むのではなく、メモリ上の文字列（BLOB）として直接指定するために使用されます。これはPHP 8以降で利用可能で、同様にクライアント証明書もCURLOPT_SSLCERT_BLOBを用いてメモリから設定できます。

セキュリティに関する重要な設定として、接続先サーバーの証明書を検証するCURLOPT_SSL_VERIFYPEER、そしてそのサーバー証明書内のホスト名が実際に接続しようとしているURLのホスト名と一致するかを厳密に確認するCURLOPT_SSL_VERIFYHOSTがあります。CURLOPT_SSL_VERIFYHOSTには2を設定し、ホスト名の厳密な検証を有効にすることが強く推奨されます。これにより、中間者攻撃などのリスクを低減し、安全な通信を確立できます。また、サーバー証明書の検証にはCURLOPT_CAINFOで信頼できる認証局（CA）の証明書バンドルを指定することが不可欠です。

提供されているperformSecureCurlRequestWithClientAuth関数は、ターゲットURL、クライアント証明書の内容、秘密鍵の内容、そして必要に応じて秘密鍵のパスワードを引数として受け取ります。関数が成功した場合はサーバーからのレスポンスボディを文字列として返し、何らかの問題で失敗した場合はfalseを返します。このコードは、安全なHTTPS通信を設定するための基本的な知識を学ぶのに役立ちます。