目前，大公司的OA管理系統（俗稱內網），安全性要求較高，通常採用https的雙向 認證模式。
首先，什麼是https，簡單的說就是在SSL協議之上實現的http協議（get、post等操作）

什麼是雙向認證模式？對於面向公眾使用者的https的網站，大部分屬於單向認證模式，它不需要對客戶端進行認證，不需要提供客戶端的個人證書，例如https://www.google.com。而雙向認證模式，為了驗證客戶端的合法性，要求客戶端在訪問伺服器時，出示自己的client certificate。

以下，為SSL握手過程：

①客戶端的瀏覽器向伺服器傳送客戶端 SSL 協議的版本號，加密演算法的種類，產生的隨機數，以及其他伺服器和客戶端之間通訊所需要的各種資訊。  
②伺服器向客戶端傳送 SSL 協議的版本號，加密演算法的種類，隨機數以及其他相關資訊，同時伺服器還將向客戶端傳送自己的證書。  
③客戶利用伺服器傳過來的資訊驗證伺服器的合法性，伺服器的合法性包括：證書是否過期，發行伺服器證書的 CA 是否可靠，發行者證書的公鑰能否正確解開伺服器證書的“發行者的數字簽名”，伺服器證書上的域名是否和伺服器的實際域名相匹配。如果合法性驗證沒有通過，通訊將斷開；如果合法性驗證通過，將繼續進行第四步。  
④使用者端隨機產生一個用於後面通訊的“對稱密碼”，然後用伺服器的公鑰（伺服器的公鑰從步驟②中的伺服器的證書中獲得）對其加密，然後將加密後的“預主密碼”傳給伺服器。  
⑤如果伺服器要求客戶的身份認證（在握手過程中為可選），使用者可以建立一個隨機數然後對其進行資料簽名，將這個含有簽名的隨機數和客戶自己的證書以及加密過的“預主密碼”一起傳給伺服器。  
⑥如果伺服器要求客戶的身份認證，伺服器必須檢驗客戶證書和簽名隨機數的合法性，具體的合法性驗證過程包括：客戶的證書使用日期是否有效，為客戶提供證書的CA 是否可靠，發行CA 的公鑰能否正確解開客戶證書的發行 CA 的數字簽名，檢查客戶的證書是否在證書廢止列表（CRL）中。檢驗如果沒有通過，通訊立刻中斷；如果驗證通過，伺服器將用自己的私鑰解開加密的“預主密碼”，然後執行一系列步驟來產生主通訊密碼（客戶端也將通過同樣的方法產生相同的主通訊密碼）。  
⑦伺服器和客戶端用相同的主密碼即“通話密碼”，一個對稱金鑰用於 SSL 協議的安全資料通訊的加解密通訊。同時在 SSL 通訊過程中還要完成資料通訊的完整性，防止資料通訊中的任何變化。  
⑧客戶端向伺服器端發出資訊，指明後面的資料通訊將使用的步驟⑦中的主密碼為對稱金鑰，同時通知伺服器客戶端的握手過程結束。  
⑨伺服器向客戶端發出資訊，指明後面的資料通訊將使用的步驟⑦中的主密碼為對稱金鑰，同時通知客戶端伺服器端的握手過程結束。  
⑩SSL 的握手部分結束，SSL 安全通道的資料通訊開始，客戶和伺服器開始使用相同的對稱金鑰進行資料通訊，同時進行通訊完整性的檢驗。  

單向認證模式與雙向認證模式的區別，就在於第⑤、第⑥步是否要求對客戶的身份認證。單向不需要認證，雙向需要認證。
 

現在介紹如何使用curl來訪問雙向認證的https站點。

一、準備工作

１、首先，因為要進行客戶端認證，你應該具有了客戶端的個人證書（對於公司內網，通常是由IT的管理員頒發給你的），只要你能夠順利的訪問雙向認證的https站點，你就具有了個人證書，它藏在瀏覽器上。我們要做的工作，只是把它從瀏覽器中匯出來。從ＩＥ瀏覽器匯出來的格式，通常為.pfx格式，從firefox匯出來的格式通常為.p12格式，其實pfx=p12，它們是同一個東西，對於curl而言這種格式稱為PKCS#12檔案。
２、把p12格式轉換為pem格式（假設你的p12檔名為：xxx.p12）：

openssl pkcs12 -in
 
 xxx.p12 -out client.pem -nokeys　　　　　　　#客戶端個人證書的公鑰  
openssl pkcs12 -in xxx.p12 -out key.pem -nocerts -nodes　　　　#客戶端個人證書的私鑰  
也可以轉換為公鑰與私鑰合二為一的檔案；  
openssl pkcs12 -in xxx.p12 -out all.pem -nodes                #客戶端公鑰與私鑰，一起存在all.pem中  

在執行過程中，可能需要你輸入匯出證書時設定的密碼。執行成功後，我們就有了這些檔案：client.pem——客戶端公鑰，key.pem——客戶端私鑰，或者二合一的all.pem。

３、確保你安裝的curl版本正確（本人折騰了兩天，全因為fedora13下的curl-7.20.1有問題，更新到curl-7.21.0.tar.gz問題解決）。

二、執行curl命令

１、使用client.pem+key.pem
curl -k --cert client.pem --key key.pem https://www.xxxx.com
2、使用all.pem
curl -k --cert all.pem https://www.xxxx.com

使用-k，是不對伺服器的證書進行檢查，這樣就不必關心伺服器證書的匯出問題了。

三、或程式碼訪問https

1、curl以GET方式請求https協議介面

//注意：這裡的$url已經包含引數了，不帶引數你自己處理哦GET很簡單
function curl_get_https($url){
    $curl = curl_init(); // 啟動一個CURL會話
    curl_setopt($curl, CURLOPT_URL, $url);
    curl_setopt($curl, CURLOPT_HEADER, 0);
    curl_setopt($curl, CURLOPT_RETURNTRANSFER, 1);
    curl_setopt($curl, CURLOPT_SSL_VERIFYPEER, false); // 跳過證書檢查
    curl_setopt($curl, CURLOPT_SSL_VERIFYHOST, true);  // 從證書中檢查SSL加密演算法是否存在
    $tmpInfo = curl_exec($curl);     //返回api的json物件
    //關閉URL請求
    curl_close($curl);
    return $tmpInfo;    //返回json物件
}

2、curl以POST方式請求https協議介面

/* PHP CURL HTTPS POST */
function curl_post_https($url,$data){ // 模擬提交資料函式
    $curl = curl_init(); // 啟動一個CURL會話
    curl_setopt($curl, CURLOPT_URL, $url); // 要訪問的地址
    curl_setopt($curl, CURLOPT_SSL_VERIFYPEER, 0); // 對認證證書來源的檢查
    curl_setopt($curl, CURLOPT_SSL_VERIFYHOST, 1); // 從證書中檢查SSL加密演算法是否存在
    curl_setopt($curl, CURLOPT_USERAGENT, $_SERVER['HTTP_USER_AGENT']); // 模擬使用者使用的瀏覽器
    curl_setopt($curl, CURLOPT_FOLLOWLOCATION, 1); // 使用自動跳轉
    curl_setopt($curl, CURLOPT_AUTOREFERER, 1); // 自動設定Referer
    curl_setopt($curl, CURLOPT_POST, 1); // 傳送一個常規的Post請求
    curl_setopt($curl, CURLOPT_POSTFIELDS, $data); // Post提交的資料包
    curl_setopt($curl, CURLOPT_TIMEOUT, 30); // 設定超時限制防止死迴圈
    curl_setopt($curl, CURLOPT_HEADER, 0); // 顯示返回的Header區域內容
    curl_setopt($curl, CURLOPT_RETURNTRANSFER, 1); // 獲取的資訊以檔案流的形式返回
    $tmpInfo = curl_exec($curl); // 執行操作
    if (curl_errno($curl)) {
        echo 'Errno'.curl_error($curl);//捕抓異常
    }
    curl_close($curl); // 關閉CURL會話
    return $tmpInfo; // 返回資料，json格式
}

3、私有證書訪問https

curl_setopt($ch,CURLOPT_SSL_VERIFYPEER,true);   
curl_setopt($ch, CURLOPT_SSLCERT,dirname(__FILE__).'/card_test/apiclient_cert.pem'); //client.    
curl_setopt($ch, CURLOPT_SSLKEY, dirname(__FILE__).'/card_test/apiclient_key.pem');