Aby dotrzeć do interfejsu API, używam node.js request.js. Otrzymuję ten błąd

[Błąd: UNABLE_TO_VERIFY_LEAF_SIGNATURE]

Wszystkie moje dane uwierzytelniające są dokładne i ważne, a serwer działa prawidłowo. Złożyłem tę samą prośbę z listonoszem.

request({
    "url": domain+"/api/orders/originator/"+id,
    "method": "GET",
    "headers":{
        "X-API-VERSION": 1,
        "X-API-KEY": key
    },
}, function(err, response, body){
    console.log(err);
    console.log(response);
    console.log(body);
});

Ten kod działa po prostu w wykonywalnym skrypcie, np. node ./run_file.js, Czy to dlatego? Czy musi działać na serwerze?

Uwaga : poniższe czynności są niebezpieczne i pozwolą na przechwytywanie i modyfikowanie zawartości API między klientem a serwerem.

To też zadziałało

process.env['NODE_TLS_REJECT_UNAUTHORIZED'] = '0';

To nie jest problem z aplikacją, ale z certyfikatem podpisanym przez pośredniczący CA. Jeśli akceptujesz ten fakt i nadal chcesz kontynuować, dodaj następujące informacje, aby poprosić o opcje:

rejectUnauthorized: false

Pełne żądanie:

request({
    "rejectUnauthorized": false,
    "url": domain+"/api/orders/originator/"+id,
    "method": "GET",
    "headers":{
        "X-API-VERSION": 1,
        "X-API-KEY": key
    },
}, function(err, response, body){
    console.log(err);
    console.log(response);
    console.log(body);
});

Bezpieczne rozwiązanie

Zamiast wyłączać zabezpieczenia, możesz dodać niezbędne certyfikaty do łańcucha. Najpierw zainstaluj pakiet ssl-root-cas z npm:

npm install ssl-root-cas

Ten pakiet zawiera wiele certyfikatów pośredniczących, którym przeglądarki ufają, ale węzeł nie.

var sslRootCAs = require('ssl-root-cas/latest')
sslRootCAs.inject()

Doda brakujące certyfikaty. Zobacz tutaj, aby uzyskać więcej informacji:

https://git.coolaj86.com/coolaj86/ssl-root-cas.js

Zobacz także następną odpowiedź poniżej

Rozwiązanie CoolAJ86 jest poprawne i nie zagraża bezpieczeństwu, jak wyłączenie wszystkich kontroli za pomocą rejectUnauthorizedlub NODE_TLS_REJECT_UNAUTHORIZED. Mimo to może być konieczne jawne wstrzyknięcie dodatkowego certyfikatu CA.

Najpierw wypróbowałem główne urzędy certyfikacji zawarte w module ssl-root-cas :

require('ssl-root-cas/latest')
  .inject();

Nadal skończyłem z UNABLE_TO_VERIFY_LEAF_SIGNATUREbłędem. Następnie dowiedziałem się, kto wystawił certyfikat dla strony internetowej, z którą łączyłem się przez COMODO SSL Analyzer , pobrałem certyfikat tego urzędu i próbowałem dodać tylko ten:

require('ssl-root-cas/latest')
  .addFile(__dirname + '/comodohigh-assurancesecureserverca.crt');

Skończyło się z innym błędem: CERT_UNTRUSTED. Na koniec wstrzyknąłem dodatkowe główne CA i dołączyłem „mój” (najwyraźniej pośredni) CA, który działał:

require('ssl-root-cas/latest')
  .inject()
  .addFile(__dirname + '/comodohigh-assurancesecureserverca.crt');

W przypadku aplikacji Create React (gdzie ten błąd również występuje, a to pytanie jest wynikiem nr 1 w Google), prawdopodobnie używasz HTTPS=true npm starti proxy(in package.json), które przechodzi do jakiegoś interfejsu API HTTPS, który sam się podpisuje, podczas opracowywania.

W takim przypadku rozważ zmianę w proxyten sposób:

"proxy": {
  "/api": {
    "target": "https://localhost:5001",
    "secure": false
  }
}

secure decyduje, czy serwer proxy WebPack sprawdza łańcuch certyfikatów, czy też nie, i wyłączanie, które zapewnia, że ​​certyfikat z podpisem własnym interfejsu API nie jest weryfikowany, aby uzyskać dane.

To może być bardzo kuszące, aby zrobić rejectUnauthorized: falsealbo process.env['NODE_TLS_REJECT_UNAUTHORIZED'] = '0';ale nie rób tego! Naraża cię na ataki man in the middle.

Inne odpowiedzi są poprawne, ponieważ problem polega na tym, że Twój certyfikat jest „podpisany przez pośredniczący CA”. Istnieje na to proste rozwiązanie, które nie wymaga biblioteki innej firmy, takiej jak np. ssl-root-casWstawianie dodatkowych urzędów certyfikacji do węzła.

Większość klientów https w opcjach obsługi węzłów, które pozwalają określić CA na żądanie, które zostaną rozwiązane UNABLE_TO_VERIFY_LEAF_SIGNATURE. Oto prosty przykład użycia wbudowanego httpsmodułu node .

import https from 'https';

const options = {
  host: '<your host>',
  defaultPort: 443,
  path: '<your path>',
  // assuming the bundle file is co-located with this file
  ca: readFileSync(__dirname + '/<your bundle file>.ca-bundle'),
  headers: {
    'content-type': 'application/json',
  }
};
https.get(options, res => {
  // do whatever you need to do
})

Jeśli jednak możesz skonfigurować ustawienia SSL na serwerze hostingowym, najlepszym rozwiązaniem byłoby dodanie certyfikatów pośrednich do dostawcy hostingu. W ten sposób requester klienta nie musi określać urzędu certyfikacji, ponieważ jest on zawarty w samym serwerze. Osobiście używam namecheap + heroku. Sztuczka polegała na utworzeniu jednego pliku .crt z rozszerzeniem cat yourcertificate.crt bundle.ca-bundle > server.crt. Następnie otworzyłem ten plik i dodałem nową linię po pierwszym certyfikacie. Możesz przeczytać więcej na

https://www.namecheap.com/support/knowledgebase/article.aspx/10050/33/installing-an-ssl-certificate-on-heroku-ssl

Umieszczając to tutaj na wypadek, gdyby to komuś pomogło, mój przypadek był inny i trochę dziwny. Otrzymywałem to na żądanie, do którego uzyskano dostęp za pośrednictwem superagenta - problem nie miał nic wspólnego z certyfikatami (które zostały prawidłowo skonfigurowane), a wszystko z faktem, że następnie przekazywałem wynik superagenta przez wywołanie zwrotne kaskady modułu asynchronicznego . Aby naprawić: zamiast przekazywać cały wynik, po prostu przejdź result.bodyprzez wywołanie zwrotne wodospadu.

Miałem te same problemy. Śledziłem rozwiązanie @ThomasReggi i @ CoolAJ86 i działałem dobrze, ale nie jestem zadowolony z rozwiązania.

Ponieważ problem „UNABLE_TO_VERIFY_LEAF_SIGNATURE” występuje z powodu poziomu konfiguracji certyfikacji.

Akceptuję rozwiązanie @thirdender, ale jego częściowe rozwiązanie.Zgodnie z oficjalną witryną nginx , wyraźnie wspomniano, że certyfikat powinien być połączeniem certyfikatu serwera i powiązanych certyfikatów.

Możesz także spróbować, ustawiając parametr strictSSL na false, na przykład:

{  
   url: "https://...",
   method: "POST",
   headers: {
        "Content-Type": "application/json"},
   strictSSL: false
}

Po zainstalowaniu certyfikatu GoDaddy na subdomenie wystąpił problem z konfiguracją Apache. Początkowo myślałem, że może to być problem z tym, że Node nie wysyła wskaźnika nazwy serwera (SNI), ale tak nie było. Analiza certyfikatu SSL subdomeny za pomocą https://www.ssllabs.com/ssltest/ zwróciła błąd Problemy z łańcuchem: niekompletne .

Po dodaniu gd_bundle-g2-g1.crtpliku dostarczonego przez GoDaddy za pośrednictwem SSLCertificateChainFiledyrektywy Apache, Node był w stanie połączyć się przez HTTPS i błąd zniknął.

Musisz dołączyć certyfikat pośredni na swoim serwerze. To rozwiązuje [Błąd: UNABLE_TO_VERIFY_LEAF_SIGNATURE]

Innym podejściem do bezpiecznego rozwiązania tego problemu jest użycie następującego modułu.

node_extra_ca_certs_mozilla_bundle

Moduł ten może działać bez modyfikacji kodu, generując plik PEM zawierający wszystkie certyfikaty główne i pośrednie zaufane przez Mozillę. Możesz użyć następującej zmiennej środowiskowej (działa z Nodejs v7.3 +),

NODE_EXTRA_CA_CERTS

Aby wygenerować plik PEM do użycia z powyższą zmienną środowiskową. Moduł możesz zainstalować za pomocą:

npm install --save node_extra_ca_certs_mozilla_bundle

a następnie uruchom skrypt węzła ze zmienną środowiskową.

NODE_EXTRA_CA_CERTS=node_modules/node_extra_ca_certs_mozilla_bundle/ca_bundle/ca_intermediate_root_bundle.pem node your_script.js

Inne sposoby wykorzystania wygenerowanego pliku PEM są dostępne pod adresem:

https://github.com/arvind-agarwal/node_extra_ca_certs_mozilla_bundle

UWAGA: jestem autorem powyższego modułu.

Jeśli trafisz do tego wątku, ponieważ używasz modułu node postgres / pg, istnieje lepsze rozwiązanie niż ustawienie NODE_TLS_REJECT_UNAUTHORIZEDlub rejectUnauthorized, które doprowadzi do niezabezpieczonych połączeń.

Zamiast tego skonfiguruj opcję „ssl” tak, aby odpowiadała parametrom tls.connect :

{
  ca: fs.readFileSync('/path/to/server-ca.pem').toString(),
  cert: fs.readFileSync('/path/to/client-cert.pem').toString(),
  key: fs.readFileSync('/path/to/client-key.pem').toString(),
  servername: 'my-server-name' // e.g. my-project-id/my-sql-instance-id for Google SQL
}

Pisałem moduł do pomocy z tych opcji z parsowania zmiennych środowiskowych, jak PGSSLROOTCERT, PGSSLCERToraz PGSSLKEY:

https://github.com/programmarchy/pg-ssl

Działały dla mnie następujące polecenia:

> npm config set strict-ssl false
> npm cache clean --force

Problem polega na tym, że próbujesz zainstalować moduł z repozytorium ze złym lub niezaufanym certyfikatem SSL [Secure Sockets Layer]. Po wyczyszczeniu pamięci podręcznej problem zostanie rozwiązany i może być konieczne późniejsze przywrócenie tego stanu.