最靠谱方案是使用 libcurl 并正确配置证书校验、TLS 版本和验证开关：必须设 CURLOPT_SSL_VERIFYPEER 和 CURLOPT_SSL_VERIFYHOST 为 1L，Windows 下显式指定 CURLOPT_CAINFO，且用 CURLOPT_SSLVERSION 锁定 TLSv1.2+。
用 libcurl 发起 HTTPS 请求最靠谱
直接上结论：C++ 本身不带 HTTPS 客户端能力，得靠第三方库；libcurl 是事实标准，稳定、跨平台、支持证书校验和 TLS 配置。别自己封装 OpenSSL，99% 的项目不需要，反而容易出安全漏洞。
常见错误现象：CURLOPT_SSL_VERIFYPEER 设为 0L 后请求能通但被扫描工具标高危；或 Windows 下跑报 SSL connect error 却没提示缺 CA 证书路径。
- 必须显式设置
CURLOPT_CAINFO（Linux/macOS 通常可省，Windows 必须）或CURLOPT_CAPATH，否则默认不验证服务器证书 -
CURLOPT_SSL_VERIFYPEER和CURLOPT_SSL_VERIFYHOST都要设为1L，关掉任一个都等于裸奔 - 如果目标服务用自签名证书（如内网测试），只应临时设
CURLOPT_SSL_VERIFYPEER为0L，且同步设CURLOPT_SSL_VERIFYHOST为0L—— 不能只关一个
libcurl 初始化时 TLS 版本和密码套件控制
不是所有系统默认启用 TLS 1.2+，老版本 libcurl 或旧系统可能回退到 TLS 1.0，被现代服务拒绝。得主动锁死最低版本。
- 用
CURLOPT_SSLVERSION设为CURL_SSLVERSION_TLSv1_2（或CURL_SSLVERSION_TLSv1_3，需 libcurl ≥ 7.52.0） - 避免用
CURL_SSLVERSION_DEFAULT，它依赖编译时 OpenSSL 版本，行为不可控 - 如需禁用弱密码套件，用
CURLOPT_SSL_CIPHER_LIST传字符串，例如"DEFAULT:!EXPORT:!aNULL:!eNULL:!EXPORT40:!RC4"，但注意太激进会导致握手失败
证书校验失败的三个高频原因
报错 Peer certificate cannot be authenticated with given CA certificates 不代表代码写错了，大概率是环境或配置问题。
立即学习“C++免费学习笔记（深入）”；
- Windows 下没指定
CURLOPT_CAINFO路径，且 libcurl 编译时没嵌入 ca-bundle.crt —— 解决方法是下载 cacert.pem 并在代码里curl_easy_setopt(curl, CURLOPT_CAINFO, "path/to/cacert.pem") - macOS 上用 Homebrew 装的 curl，默认信任系统钥匙串，但 C++ 程序链接的是系统 libcurl（/usr/lib/libcurl.dylib），它不读钥匙串 —— 得手动指定 CA 路径
- 容器或精简 Linux 发行版（如 Alpine）没预装 ca-certificates 包，
/etc/ssl/certs/ca-certificates.crt不存在或为空 —— 运行前先apk add ca-certificates或挂载证书文件
不用 libcurl 的替代方案现实吗？
有人想用 Boost.Beast + OpenSSL 手写，或者用 cpp-httplib。前者工程量大、TLS 握手细节极易出错；后者默认不校验证书，且不支持 SNI、ALPN 等现代特性，连 HTTP/2 都不支持。
真正需要自定义 TLS 层的场景极少：比如审计要求必须用国密 SM2/SM4，或硬件加密模块集成。除此之外，libcurl 的 CURLOPT_SSL_CTX_FUNCTION 已足够接管底层 SSL_CTX 做定制，没必要从零实现。
证书路径、TLS 版本、验证开关这三件事没配对，HTTPS 就只是个带 S 的 HTTP。其他炫技操作，先等这三件事稳了再说。
