科技 · 實用指南

curl 錯誤 77？更換憑證前先證明哪個 CA 檔案或目錄載入失敗

錯誤 77 表示 curl 無法讀取所選 CA 憑證位置。先確認二進位檔、TLS 後端、覆寫設定與實際路徑，再檢查目錄穿越、檔案位元組和儲存結構，只修復一個輸入，並在不使用 insecure 模式下複測。

作者 Watch at Ease News · 3 分鐘閱讀發布於 2026年10月18日晚上10:43 UTC

curl 錯誤 77 是本機信任儲存載入失敗，並不證明遠端伺服器憑證有問題。curl 官方說明把它限定為讀取 SSL CA 憑證位置時出錯。

不要先用 --insecure、chmod 777 或任意下載憑證包。先證明實際執行的是哪個 curl 與 TLS 後端、選取哪個檔案或目錄，以及該位置為何無法載入。

1. 擷取真正失敗的執行環境

記錄可執行檔路徑、curl 版本與 TLS 後端、脫敏命令、結束碼、工作目錄、使用者或服務身分、容器映像與封裝程式。命令列 curl、PHP 擴充、Python 綁定與應用內建 libcurl 可能使用不同建置與設定。

保留完整錯誤行與詳細啟動輸出，同時移除憑證。不要公開 Authorization、Cookie、簽名查詢參數、用戶端私鑰或內部主機名稱。失敗程序印出的 CAfile 與 CApath 是證據，不是建議。

列出明確的 --cacert 或 --capath、應用設定、CURL_CA_BUNDLE、SSL_CERT_FILE 和 SSL_CERT_DIR，再與實際建置的編譯預設值比較。必須在同一服務、容器或 CI 步驟中檢查；互動式 shell 可能有不同環境。

先不要修改。把所選輸入及其來源寫入表格：命令選項、封裝設定、環境變數、平台原生儲存或編譯預設值。若兩層衝突，只刪除意外覆寫項，再做一次受控請求。

以失敗使用者身分檢查每個目錄元件與最終物件。即使檔案可讀，父目錄不可穿越、符號連結指向沙箱外、綁定掛載缺失或安全政策阻止目標時仍會失敗。記錄解析後路徑、擁有者、權限、大小、摘要及掛載或容器邊界。

不要把 chmod 777 當成診斷捷徑。它擴大權限，卻無法修復缺失掛載、空檔案、錯誤檔案類型、損壞 PEM 或沙箱拒絕。找到邊界後恢復預期擁有權與最小權限。

對 CAfile，排除目錄、PKCS#12 檔案、零位元檔案或偽裝成憑證包的 HTML 下載。OpenSSL 需要 PEM 憑證區塊，並在載入驗證位置時處理檔案。替換系統管理的憑證包前，先用 OpenSSL 工具解析副本。

對 OpenSSL 的 CApath，憑證檔必須採用雜湊查找配置；對目標目錄執行平台對應的 rehash 工具，並檢查產生的連結。只有 PEM 檔卻沒有必要名稱的目錄，在查找憑證時仍可能失敗。

針對狹窄原因修復：刪除過期覆寫項、恢復套件管理的憑證包、修正掛載路徑、從可信發行源替換空檔、修正 PEM 輸入或重建雜湊目錄。調查損壞或映像建置問題時保留舊檔與套件記錄。

以同一執行環境與目標複測，不使用 --insecure。要求結束碼為 0、TLS 驗證成功、使用預期 CA 來源且沒有退回意外憑證包。接著測試真實封裝或服務，並記錄修正後路徑、擁有者、位元組數、摘要與設定來源。