摘自http://blog.csdn.net/chary8088/article/details/22990741
curl+個人證書（又叫客戶端證書）訪問https站點
目前，大公司的OA管理系統（俗稱內網），安全性要求較高，通常采用https的雙向 認證模式。
首先，什么是https，簡單的說就是在SSL協議之上實現的http協議（get、post等操作）。更多的介紹參看這里。
什么是雙向認證模式？對於面向公眾用戶的https的網站，大部分屬於單向認證模式，它不需要對客戶端進行認證，不需要提供客戶端的個人證書，例如 https://www.google.com。而雙向認證模式，為了驗證客戶端的合法性，要求客戶端在訪問服務器時，出示自己的client certificate。
以下，為SSL握手過程：
- ③客戶利用服務器傳過來的信息驗證服務器的合法性，服務器的合法性包括：證書是否過期，發行服務器證書的 CA 是否可靠，發行者證書的公鑰能否正確解 開服務器證書的“發行者的數字簽名”，服務器證書上的域名是否和服務器的實際域名相匹配。如果合法性驗證沒有通過，通訊將斷開；如果合法性驗證通過，將繼 續進行第四步。
- ⑥如果服務器要求客戶的身份認證，服務器必須檢驗客戶證書和簽名隨機數的合法性，具體的合法性驗證過程包括：客戶的證書使用日期是否有效，為客戶提供證 書的CA 是否可靠，發行CA 的公鑰能否正確解開客戶證書的發行 CA 的數字簽名，檢查客戶的證書是否在證書廢止列表（CRL）中。檢驗如果沒有通 過，通訊立刻中斷；如果驗證通過，服務器將用自己的私鑰解開加密的“預主密碼”，然后執行一系列步驟來產生主通訊密碼（客戶端也將通過同樣的方法產生相同 的主通訊密碼）。
- ⑩SSL 的握手部分結束，SSL 安全通道的數據通訊開始，客戶和服務器開始使用相同的對稱密鑰進行數據通訊，同時進行通訊完整性的檢驗。
單向認證模式與雙向認證模式的區別，就在於第⑤、第⑥步是否要求對客戶的身份認證。單向不需要認證，雙向需要認證。
現在介紹如何使用curl來訪問雙向認證的https站點。
一、准備工作
１、首先，因為要進行客戶端認證，你應該具有了客戶端的個人證書（對於公司內網，通常是由IT的管理員頒發給你的），只要你能夠順利的訪問雙向認證的 https站點，你就具有了個人證書，它藏在瀏覽器上。我們要做的工作，只是把它從瀏覽器中導出來。從ＩＥ瀏覽器導出來的格式，通常為.pfx格式，從firefox導出來的格式通常為.p12格式，其實pfx=p12，它們是同一個東西，對於curl而言這種格式稱為PKCS#12文件。
２、把p12格式轉換為pem格式（假設你的p12文件名為：xxx.p12）：
- openssl pkcs12 -inout inout inout all.pem -nodes #客戶端公鑰與私鑰，一起存在all.pem中
在執行過程中，可能需要你輸入導出證書時設置的密碼。執行成功后，我們就有了這些文件：client.pem——客戶端公鑰，key.pem——客戶端私鑰，或者二合一的all.pem。
３、確保你安裝的curl版本正確（本人折騰了兩天，全因為fedora13下的curl-7.20.1有問題，更新到curl-7.21.0.tar.gz問題解決）。
二、執行curl命令
１、使用client.pem+key.pem
curl -k --cert client.pem --key key.pem https://www.xxxx.com
2、使用all.pem
curl -k --cert all.pem https://www.xxxx.com
使用-k，是不對服務器的證書進行檢查，這樣就不必關心服務器證書的導出問題了。