エックスサーバーがPHP8.4に対応、しかし・・・

先週、ついにエックスサーバーがPHP8.4に対応しました。
https://www.xserver.ne.jp/news_detail.php?view_id=16437

既にローカルのプロジェクトでは8.4を利用していたため、そのまま行けるだろう
→ 設定変更
→ 管理画面にログインできませんでした

え？なぜ？

エラーログ確認

エラーログを見ると、当プロジェクトは社内メンバー限定のため、社内で利用しているGoogle WorkspaceのドメインようにGoogleログイン、および外部利用ようにLINEログインで制限をかけているのだが、oAuth用のcurlコマンドでエラーが出ていた

cURL error 77: error setting certificate verify locations: CAfile: /opt/curl761/etc/pki/tls/certs/ca-bundle.crt

エラー調査

PHP8.3にダウングレードしてみると問題なく動作する。

つまりPHP8.4固有の問題

エラーが出ているcrtファイルを探してみる・・・ない

エラーの通り、/opt/curl761/etc/pki/tls/certs/ca-bundle.crt なんてなかった。
そもそも /opt/curl761/etc というディレクトリが存在しない。

ではPHP8.3はどこを見ているのか？

<?php

// 確認したいHTTPSのURL
$url = 'https://www.google.com';

// cURLのデバッグログを保存するためのストリームを用意
$verbose_log = fopen('php://temp', 'w+');

$ch = curl_init();
curl_setopt($ch, CURLOPT_URL, $url);
curl_setopt($ch, CURLOPT_RETURNTRANSFER, true);

// Verboseモードを有効にする
curl_setopt($ch, CURLOPT_VERBOSE, true);
// Verboseモードの出力先を$verbose_logに設定する
curl_setopt($ch, CURLOPT_STDERR, $verbose_log);

// cURL実行
$response = curl_exec($ch);
curl_close($ch);

// ストリームのポインタを最初に戻して内容を取得
rewind($verbose_log);
$verbose_output = stream_get_contents($verbose_log);
fclose($verbose_log);

// ブラウザで見やすいようにHTMLエスケープして表示
echo '<pre>' . htmlspecialchars($verbose_output) . '</pre>';

実行結果

* About to connect() to www.google.com port 443 (#0)
*   Trying 142.250.76.132...
* Connected to www.google.com (142.250.76.132) port 443 (#0)
* Initializing NSS with certpath: sql:/etc/pki/nssdb
*   CAfile: /etc/pki/tls/certs/ca-bundle.crt
  CApath: none
  
以下省略

/etc/pki/tls/certs/ca-bundle.crt を探すと確かに存在する
全然ちがうじゃん

存在するcrtを指定してみる・・・成功

そりゃそうだ。

修正方法

1. 上記crtファイルを直接指定する

# curlコマンドの場合
curl_setopt($curl, CURLOPT_SSL_VERIFYPEER, '/etc/pki/tls/certs/ca-bundle.crt');

# League/oauth2-client を利用している場合
$provider->setHttpClient(new \GuzzleHttp\Client(['verify' => '/etc/pki/tls/certs/ca-bundle.crt']));

正直めんどい

2. php.ini に設定する（推奨）

サーバーパネルにログイン
php.ini設定
直接編集
以下を追記

[curl]
curl.cainfo = "/etc/pki/tls/certs/ca-bundle.crt"

これでいちいち設定しなくて良くなる。
なお /etc/pki/tls/certs/ca-bundle.crt は /etc/pki/ca-trust/extracted/pem/tls-ca-bundle.pem へのシンボリックリンクなのでこちらを設定しても良い。

もっと突っ込んだ原因と考察

phpinfo で両バージョンを確認したところ、curl.cainfo や openssl.cafile はどちらも空（no value）だった。
つまり、大元となっている libcurlライブラリに設定が組み込まれているものと思われ、PHP8.4版のlibcurlの設定が間違っているのか、/opt/curl761/etc/pki/tls/certs/ca-bundle.crt へのCAファイルの配置（ないしシンボリックリンクの作成）を忘れているのかどちらかだと思われる。

要するに、近々で修正される可能性もあるので、現状敢えてPHP8.4にする必要はないかもしれない。