简介围绕 HTTP 与 HTTPS 的 GET、POST 请求封装这份资料提供 libcurl 与 WinHTTP 两条实现路线适合正在做 C 网络编程、接口联调或客户端下载模块的开发者对照选用。包内共 54 个文件含 17 个头文件、12 个静态库、4 个 cpp 源文件另有工程配置、清单与日志等压缩包约 6.24MB头文件与源文件分别对应 CHttpClient、WinHttpClient 两类封装静态库和工程文件便于直接编译验证。已有 484 人学习说明该主题在 Windows 平台接口调用场景中具有实用参考价值。读者可据此对比两种底层库在 HTTPS 证书校验、超时设置、请求头组织与响应接收上的差异参考现成类接口快速接入项目并借助配套工程与脚本复现编译流程、排查链接与依赖问题减少重复封装成本。1. HTTP HTTPS POST GET两套栈摆在一起怎么选才不返工一个只在内网跑的小工具要调一个第三方接口拿数据。第一版随手用 curl 版本写了二十几行就跑通扔进 CI 也能编。半年后这个工具被要求做成常驻服务跑在几台 Windows 机器上客户环境不允许装额外依赖证书还得跟着系统证书存储走——curl 版本在这里就有点别扭了。换 winhttp 版本重写代码量翻了一倍但代理、证书、系统集成全是白送的。HTTP、HTTPS、POST、GET 这四个词在纸面上简单真正落到工程里选择题从来不是「哪个协议更先进」而是「哪套客户端的默认行为跟我的部署环境对得上」。这篇把两套实现从报文讲到代码再讲到踩过的坑适合要自己手写请求、不愿意引一个重型网络框架的人。2. 报文先立住GET 和 POST 在字节层面到底差在哪很多人写请求是靠试出来的这个字段少写一个就 400那个头多写一个就 415改到能通为止。这种经验攒不快换一个服务端就得重来。把报文摊开看一遍后面调 curl 和 WinHTTP 的参数时你会知道每个setopt到底在改哪个字节。2.1 请求行到空行四个部分决定服务端从哪里开始解析一条 HTTP/1.1 请求在 TCP 连接里就是一段纯字节结构固定为请求行、头字段若干行、一个空行、可选的消息体。空行是硬分界服务端读到\r\n\r\n就知道头结束了剩下的字节按头里声明的长度去读消息体。POST /api/v1/orders?fromweb HTTP/1.1 Host: api.example.invalid User-Agent: demo-client/1.0 Content-Type: application/json; charsetutf-8 Content-Length: 42 Connection: keep-alive {sku:A-1024,qty:2,note:中文}请求行三段用空格分隔方法、请求目标、协议版本。请求目标在直接连服务器时是「路径 查询串」不带协议和主机名只有在经过代理时才写成绝对 URL这个差异是后面 WinHTTP 拼路径时最容易写错的地方。Host在 HTTP/1.1 里是必填的虚拟主机靠它路由缺了大概率回 400。Content-Length是十进制的字节数不是字符数一个中文字在 UTF-8 里占三字节长度算错就会导致服务端一直等后续字节、直到超时。Connection: keep-alive是 HTTP/1.1 的默认行为写不写都行但如果你在循环里发请求复不复用连接对延迟的影响是数量级的。2.2 GET 与 POST 的差异不在「有没有 body」流传最广的一句话是「GET 参数在 URL 里POST 参数在 body 里」。这话不算错但它解释不了为什么有些服务端对 GET 带 body 直接拒绝也解释不了 411 和 413 是怎么来的。更准确的说法是GET 的语义是「取」请求应当是幂等且可缓存的中间层缓存、日志、监控会假定重复发送没有副作用POST 的语义是「提交」不保证幂等中间层不敢随便缓存。维度GETPOST参数位置查询串受 URL 长度限制消息体受服务端 body 上限限制幂等性语义上应当幂等不保证重试要自己做去重缓存可被中间层缓存默认不缓存日志暴露参数在 URL 里容易被访问日志完整记录参数在 body 里日志一般只记长度常见错误码414URI 过长411缺长度、413体过大、415类型不支持幂等这一条在工程上最要命。GET 失败了写个循环重试三次基本没问题POST 超时了你去重试服务端可能已经落库了于是多出一条订单。我一般的做法是 POST 带一个业务侧的唯一键超时重试时用同一个键让服务端去做幂等。参数编码也得说清楚。查询串里的值必须做百分号编码空格编成%20、、、#这些保留字符都要转义否则服务端解析出来的参数名会莫名其妙多出一截。表单提交application/x-www-form-urlencoded里空格习惯编成查询串里编成%20更稳这两种写法服务端大多都认但别在同一个请求里混用。POST 的 body 格式由Content-Type决定常见三种application/x-www-form-urlencoded是键值对编码最简单也最通用application/json现在最常见注意声明charsetutf-8否则中文可能按 ISO-8859-1 解析成乱码multipart/form-data用于文件上传需要一个不会在内容里出现的 boundary 字符串分隔各段手写这个格式是最容易翻车的地方边界前后必须严格是--boundary\r\n和结尾的--boundary--\r\n少一个回车服务端就解析不出来。2.3 HTTPS 多出来的那一层握手发生在你拿到连接之前HTTPS 不是另一个协议它是 HTTP 报文塞进 TLS 记录里传输。TCP 三次握手之后、第一个 HTTP 字节发出之前中间还有一次 TLS 握手客户端发 ClientHello里面带 SNI 扩展明说我要访问哪个域名服务端回证书链和密钥交换参数双方协商出会话密钥之后所有 HTTP 字节被加密。对写客户端的人来说握手阶段有三个东西必须管住。第一是证书链验证客户端要检查证书是否由受信任的根证书签发、是否在有效期内、签名是否有效。第二是主机名匹配证书里的 SAN 必须包含你请求的域名用 IP 直连一个只签了域名的证书验证就会失败。第三是吊销检查这块两套栈的默认策略不一样前者更严格一些。curl 和 WinHTTP 在这层的性格差异很大。curl 依赖编译时选定的 TLS 后端可以用CURLOPT_CAINFO指定自己的 CA 包也可以用CURLOPT_SSL_VERIFYPEER和CURLOPT_SSL_VERIFYHOST单独控制「验不验证书」和「验不验主机名」——这两个开关分开设只关一个的配置是错误的。WinHTTP 走 Windows 自带的 TLS 实现证书验证直接读系统证书存储企业内网推的根证书只要装进系统就自动生效代价是想自定义 CA 反而麻烦得用WinHttpSetOption配WINHTTP_OPTION_CLIENT_CERT_CONTEXT之类的接口绕。代理也是同样的分裂。curl 默认读环境变量http_proxy、https_proxy、no_proxy写代码时可以用CURLOPT_PROXY显式覆盖WinHTTP 有一档WINHTTP_ACCESS_TYPE_AUTOMATIC_PROXY会去读系统的代理配置包括 PAC 脚本另一档WINHTTP_ACCESS_TYPE_DEFAULT_PROXY读注册表里的静态代理。同一台机器上两个客户端表现不一致十有八九是这里没对齐。把这些搞明白后面写代码就是填参数的事。3. curl 版本从编译链接到可复用的 GET/POST 封装curl 这套接口的好处是「一切皆 easy handle」一个 handle 代表一次请求curl_easy_setopt像填空一样把参数塞进去curl_easy_perform一调就发。缺点是选项太多随便一搜能抄到几十行代码但大部分示例都不管生命周期、不管二进制安全、不管超时的三类区分抄完能跑上量就炸。3.1 环境准备与最小可编译工程先确认开发包在。Linux 系一行就够包名不同发行版有差异装不上就搜对应发行版的 curl 开发包# Debian/Ubuntu 系安装 curl 开发包含头文件和静态/动态库 sudo apt update sudo apt install -y libcurl4-dev # 验证打印版本和支持的协议确认 https 在列 curl-config --version curl-config --protocols | grep -i httpsWindows 上把 curl 的库和头文件加进工程链接时按你拿到的库名链接libcurl.lib或libcurl_a.lib如果用的是动态库运行时 DLL 要跟 exe 放一起这一步漏了会得到一个「找不到模块」的报错。编译命令注意顺序库要放在源文件后面# 编译链接 curl 版本-lcurl 必须写在 .cpp 之后否则链接器找不到符号 g -stdc17 -O2 main.cpp http_curl.cpp -o demo_curl -lcurl3.2 一次请求的完整骨架接口设计与 RAII先定返回结构把状态码、响应体、错误信息分开存调用方才能区分「服务端返回 500」和「我连不上服务器」——这两种情况的重试策略完全不同。// http_curl.h —— 头文件里不暴露 curl 的类型避免每个包含方都拖进 curl.h #pragma once #include string #include map struct HttpResult { long status 0; // HTTP 状态码0 表示请求没走完看 err std::string body; // 原始响应体按字节保存可能是二进制 std::string contentType; // 响应头 Content-Type用于判断怎么解析 std::string err; // 空串为成功非空为失败原因含 curl 错误码描述 }; class CurlHttpClient { public: CurlHttpClient(); // 内部构造一个 easy handle ~CurlHttpClient(); // 释放 handle HttpResult Get(const std::string url, const std::mapstd::string, std::string headers {}, long timeoutMs 10000); HttpResult Post(const std::string url, const std::string body, const std::string contentType application/json, const std::mapstd::string, std::string headers {}, long timeoutMs 10000); private: HttpResult Perform(const std::string url, const std::string body, const std::string contentType, const std::mapstd::string, std::string headers, long timeoutMs); void* easy_ nullptr; // 实际类型是 CURL*这里用 void* 隔离头文件 struct curl_slist* hdr_ nullptr; // 当前请求的自定义头链表每次请求重建 };把CURL*藏在void*后面是个小技巧工程里被十几个模块包含的头文件能少拖一个第三方头就少拖一个编译时间和版本冲突都能省。代价是实现文件里每次都要static_castCURL*(easy_)。实现部分全局初始化必须在任何线程用 curl 之前完成而且它不是线程安全的所以放在对象构造里加个std::once_flag更稳// http_curl.cpp #include http_curl.h #include curl/curl.h #include mutex #include stdexcept namespace { // 写回调必须按字节追加不能用 strlen 之类的 C 字符串函数 size_t WriteCb(char* ptr, size_t size, size_t nmemb, void* userdata) { const size_t n size * nmemb; // 实际字节数不是元素个数 static_caststd::string*(userdata)-append(ptr, n); return n; // 返回值必须等于 n否则 curl 判定写失败 } // 取响应头里的 Content-Type后续按类型选解析器 size_t HeaderCb(char* buffer, size_t size, size_t nitems, void* userdata) { const size_t n size * nitems; std::string line(buffer, n); auto* ct static_caststd::string*(userdata); if (line.rfind(Content-Type:, 0) 0) { // 只认第一个匹配够用 auto pos line.find(:); if (pos ! std::string::npos) { std::string v line.substr(pos 1); while (!v.empty() (v.back() \r || v.back() \n || v.back() )) v.pop_back(); while (!v.empty() v.front() ) v.erase(v.begin()); *ct v; } } return n; } std::once_flag g_initFlag; // 全局初始化只做一次多线程安全 } // namespaceWriteCb里那个size * nmemb是 curl 的老规矩历史上有人按元素个数累加遇到某些服务端分块发送时数据就少了。响应体用std::string存二进制内容是安全的只要你别用c_str()去算长度——std::string内部有独立的长度字段\0不会截断它。3.3 GET 与 POST 的参数怎么给长度、类型与生命周期真正发请求的函数把选项集中配置GET 和 POST 只差三件事CURLOPT_POST、CURLOPT_POSTFIELDS、以及Content-Type头。HttpResult CurlHttpClient::Perform(const std::string url, const std::string body, const std::string contentType, const std::mapstd::string, std::string headers, long timeoutMs) { CURL* h static_castCURL*(easy_); curl_easy_reset(h); // 清掉上一次请求的残留选项避免串味 HttpResult r; curl_easy_setopt(h, CURLOPT_URL, url.c_str()); curl_easy_setopt(h, CURLOPT_WRITEFUNCTION, WriteCb); curl_easy_setopt(h, CURLOPT_WRITEDATA, r.body); curl_easy_setopt(h, CURLOPT_HEADERFUNCTION, HeaderCb); curl_easy_setopt(h, CURLOPT_HEADERDATA, r.contentType); // 超时拆成两段建连超时和整次传输超时只设一个会漏掉另一半场景 curl_easy_setopt(h, CURLOPT_CONNECTTIMEOUT_MS, 3000L); curl_easy_setopt(h, CURLOPT_TIMEOUT_MS, timeoutMs); // 重定向最多跟 5 跳POST 跟随后是否保持方法由 curl 按 RFC 处理 curl_easy_setopt(h, CURLOPT_FOLLOWLOCATION, 1L); curl_easy_setopt(h, CURLOPT_MAXREDIRS, 5L); // 证书验证生产环境保持 1/2任何关闭都是临时排障手段 curl_easy_setopt(h, CURLOPT_SSL_VERIFYPEER, 1L); curl_easy_setopt(h, CURLOPT_SSL_VERIFYHOST, 2L); // 允许压缩让服务端用 gzip 传回来curl 自动解压 curl_easy_setopt(h, CURLOPT_ACCEPT_ENCODING, ); // 这个选项防的是多线程下 SIGALRM 干扰长驻服务建议开着 curl_easy_setopt(h, CURLOPT_NOSIGNAL, 1L); if (!body.empty()) { curl_easy_setopt(h, CURLOPT_POST, 1L); curl_easy_setopt(h, CURLOPT_POSTFIELDS, body.data()); // 显式给字节长度body 里可能有 \0不设长度 curl 会按 C 字符串算 curl_easy_setopt(h, CURLOPT_POSTFIELDSIZE_LARGE, static_castcurl_off_t(body.size())); } if (hdr_) { curl_slist_free_all(hdr_); hdr_ nullptr; } if (!contentType.empty()) hdr_ curl_slist_append(hdr_, (Content-Type: contentType).c_str()); for (const auto kv : headers) hdr_ curl_slist_append(hdr_, (kv.first : kv.second).c_str()); if (hdr_) curl_easy_setopt(h, CURLOPT_HTTPHEADER, hdr_); CURLcode rc curl_easy_perform(h); if (rc ! CURLE_OK) { r.err curl_easy_strerror(rc); // 连接失败、超时、证书错误都从这里出 return r; } curl_easy_getinfo(h, CURLINFO_RESPONSE_CODE, r.status); // 200/404/500 在这里 return r; }curl_easy_reset这一行是给复用的 handle 用的。如果你不 reset上一次设的CURLOPT_POST会一直留着导致下一个 GET 莫名其妙变成 POST服务端回 405你还得抓包才看得出来。CURLOPT_POSTFIELDSIZE_LARGE用_LARGE版本是为了超过 2GB 的 body 也不溢出虽然很少有这种场景但这行写死了不用改。CURLOPT_POSTFIELDS的经典翻车是传了一个临时std::string的c_str()字符串在curl_easy_perform返回前就被析构了——因为POSTFIELDS默认是「不拷贝、只记指针」。上面的写法把body作为函数参数按引用传进来生命周期覆盖了perform是安全的。如果调用方传的是临时对象务必确认它活到了 perform 结束。GET 就是把body传空串走同一个Perform。查询串要自己拼的话编码这一步别偷懒// 查询串编码curl_easy_escape 返回的字符串需要调用方 curl_free 释放 std::string EncodeQuery(const std::string raw) { CURL* h curl_easy_init(); char* esc curl_easy_escape(h, raw.c_str(), static_castint(raw.size())); std::string out esc ? esc : ; if (esc) curl_free(esc); curl_easy_cleanup(h); return out; }注意curl_easy_escape的第三个参数是源字符串长度传 0 表示按\0结尾算遇到含\0的参数就会被截断。这个函数对已编码的字符串不会二次编码所以拼 URL 的时候别在同一段上调用两次。3.4 复用到什么程度才算够curl_easy_perform同一个 handle 连续调多次底层连接会被复用keep-alive。这对循环拉数据的小工具是白捡的优化第一次请求花掉 TLS 握手的几十毫秒后面几次只花一个往返。但 handle 不是线程安全的多线程必须一线程一个 handle共享 DNS 缓存和连接池用curl_share_init配CURLSHOPT_SHARE类型选CURL_LOCK_DATA_DNS或CURL_LOCK_DATA_CONNECT。共享连接池还得自己实现锁回调CURLSHOPT_LOCKFUNC和CURLSHOPT_UNLOCKFUNC不设curl 在并发下会给出警告甚至崩。还有一个容易忽略的点CURLOPT_TIMEOUT_MS是整次传输的上限大文件下载设个 10 秒必然失败。正确的姿势是CURLOPT_CONNECTTIMEOUT_MS给 3 秒卡住建连CURLOPT_LOW_SPEED_LIMIT配CURLOPT_LOW_SPEED_TIME卡住「连上了但不动」的情况连续 30 秒速度低于 1 字节/秒就主动断。这组参数比一个粗暴的总超时更贴合长传输场景。4. WinHTTP 版本会话、连接、请求三级对象怎么管WinHTTP 的结构跟 curl 完全不同。它不是「一个 handle 填一堆选项」而是三级对象层层往下建HINTERNET会话WinHttpOpen→ 连接WinHttpConnect→ 请求WinHttpOpenRequest→ 发送接收。每建一级都要对应关一级顺序反了就泄漏句柄。新手最不适应的就是这种「必须自己管生命周期」的手感好处是每一级的参数都是强类型的改错了编译期就报。4.1 从宽字符开始WinHttpCrackUrl 拆 URLWinHTTP 全系接口都用宽字符LPCWSTR源码是 UTF-8 的话第一步就得转。另外 URL 要拆成三部分主机名给WinHttpConnect路径和查询串拼起来给WinHttpOpenRequest协议决定要不要加WINHTTP_FLAG_SECURE。#include windows.h #include winhttp.h #pragma comment(lib, winhttp.lib) // 别忘了链接否则一堆 LNK2019 // UTF-8 - UTF-16长度按字节给转换后不能假设以 \0 结尾就算完事 static std::wstring Utf8ToWide(const std::string s) { if (s.empty()) return std::wstring(); int n MultiByteToWideChar(CP_UTF8, 0, s.data(), static_castint(s.size()), nullptr, 0); std::wstring w(n, L\0); MultiByteToWideChar(CP_UTF8, 0, s.data(), static_castint(s.size()), w[0], n); return w; } // 只负责拆不做请求返回 false 表示 URL 格式不对 static bool CrackUrl(const std::wstring url, std::wstring host, std::wstring path, INTERNET_PORT port, bool https) { URL_COMPONENTS uc{}; uc.dwStructSize sizeof(uc); wchar_t hostBuf[256]{}, pathBuf[2048]{}, extraBuf[1024]{}; uc.lpszHostName hostBuf; uc.dwHostNameLength 255; uc.lpszUrlPath pathBuf; uc.dwUrlPathLength 2047; uc.lpszExtraInfo extraBuf; uc.dwExtraInfoLength 1023; if (!WinHttpCrackUrl(url.c_str(), 0, 0, uc)) return false; host std::wstring(uc.lpszHostName, uc.dwHostNameLength); path std::wstring(uc.lpszUrlPath, uc.dwUrlPathLength); path std::wstring(uc.lpszExtraInfo, uc.dwExtraInfoLength); // 查询串单独给必须拼回去 port uc.nPort; https (uc.nScheme INTERNET_SCHEME_HTTPS); return true; }lpszExtraInfo是查询串lpszUrlPath只是路径。这两个分开返回只拼前者不拼后者请求就会打到/api而不是/api?id1服务端多半回 400 或者返回一个默认列表你还以为接口就是这样。缓冲区长度字段用的是「字符数减一」留一位给\0写满了WinHttpCrackUrl会失败。4.2 一次完整请求从 Open 到 Close 的七步把这七步按顺序摆出来比记忆每个函数的参数容易得多struct WinHttpResult { DWORD status 0; std::string body; std::string err; }; static WinHttpResult WinHttpRequest(const std::string urlUtf8, const std::string method, // GET 或 POST const std::string body, const std::string contentType, int timeoutMs 10000) { WinHttpResult r; std::wstring host, path; INTERNET_PORT port 0; bool https false; if (!CrackUrl(Utf8ToWide(urlUtf8), host, path, port, https)) { r.err url crack failed; return r; } // 1. 会话自动代理模式会读系统代理设置含 PAC比 DEFAULT_PROXY 更贴近浏览器行为 HINTERNET hSession WinHttpOpen(Ldemo-client/1.0, WINHTTP_ACCESS_TYPE_AUTOMATIC_PROXY, WINHTTP_NO_PROXY_NAME, WINHTTP_NO_PROXY_BYPASS, 0); if (!hSession) { r.err open session failed; return r; } // 2. 超时分三段设置解析、建连、发送/接收缺哪段都会在某类网络下卡死 WinHttpSetTimeouts(hSession, 3000, 3000, timeoutMs, timeoutMs); // 3. 连接 HINTERNET hConnect WinHttpConnect(hSession, host.c_str(), port, 0); if (!hConnect) { WinHttpCloseHandle(hSession); r.err connect failed; return r; } // 4. 建请求https 必须带 WINHTTP_FLAG_SECURE否则明文打到 443 端口 const wchar_t* m (method POST) ? LPOST : LGET; HINTERNET hRequest WinHttpOpenRequest(hConnect, m, path.c_str(), nullptr, WINHTTP_NO_REFERER, WINHTTP_DEFAULT_ACCEPT_TYPES, https ? WINHTTP_FLAG_SECURE : 0); if (!hRequest) { WinHttpCloseHandle(hConnect); WinHttpCloseHandle(hSession); r.err open request failed; return r; } // 5. 头发完再发 bodydwTotalLength 是字节数中文不能按字符数给 BOOL ok FALSE; if (method POST) { std::wstring ct LContent-Type: Utf8ToWide(contentType); ok WinHttpSendRequest(hRequest, ct.c_str(), static_castDWORD(-1L), (LPVOID)body.data(), static_castDWORD(body.size()), static_castDWORD(body.size()), 0); } else { ok WinHttpSendRequest(hRequest, WINHTTP_NO_ADDITIONAL_HEADERS, 0, WINHTTP_NO_REQUEST_DATA, 0, 0, 0); } if (!ok || !WinHttpReceiveResponse(hRequest, nullptr)) { r.err send/receive failed: std::to_string(GetLastError()); WinHttpCloseHandle(hRequest); WinHttpCloseHandle(hConnect); WinHttpCloseHandle(hSession); return r; } // ... 状态码和响应体读取见下一节 ... WinHttpCloseHandle(hRequest); WinHttpCloseHandle(hConnect); WinHttpCloseHandle(hSession); return r; }WinHttpSetTimeouts的四个参数依次是解析超时、建连超时、发送超时、接收超时单位毫秒。只设接收超时是常见误用DNS 出问题的时候卡住的是解析那一段WinHttpSendRequest会一直不返回。WinHttpOpenRequest第二个参数传nullptr表示不跟重定向默认允许传WINHTTP_DISABLE_REDIRECTS就完全不跟。HTTPS 转 HTTP 的降级重定向WinHTTP 默认是拒绝的想改要设WINHTTP_OPTION_REDIRECT_POLICY这属于安全策略别轻易动。4.3 读状态码和响应体分块循环是必须的WinHttpReceiveResponse返回成功只代表响应头到了body 还挂在连接上等着你读。读法是循环先问有多少字节可用再读出来直到可用字节为 0。// 6. 取状态码必须加 WINHTTP_QUERY_FLAG_NUMBER否则拿到的是字符串 200 DWORD status 0, len sizeof(status); if (WinHttpQueryHeaders(hRequest, WINHTTP_QUERY_STATUS_CODE | WINHTTP_QUERY_FLAG_NUMBER, WINHTTP_HEADER_NAME_BY_INDEX, status, len, WINHTTP_NO_HEADER_INDEX)) { r.status status; } // 7. 循环读 bodyavail 0 表示响应结束不是出错 for (;;) { DWORD avail 0; if (!WinHttpQueryDataAvailable(hRequest, avail)) { r.err query available failed: std::to_string(GetLastError()); break; } if (avail 0) break; // 正常结束 std::string chunk(avail, \0); DWORD read 0; if (!WinHttpReadData(hRequest, chunk.data(), avail, read)) { r.err read data failed: std::to_string(GetLastError()); break; } if (read 0) break; // 防御极少数情况下 avail0 但 read0 r.body.append(chunk.data(), read); // 用 read不要用 avail }WinHttpReadData的read有可能小于avail尤其是分块传输Transfer-Encoding: chunked的场景用avail去 append 会把后面没填的\0读进来。状态码那个WINHTTP_QUERY_FLAG_NUMBER也是血泪经验不加这个标志会拿到200这样的宽字符串指针按DWORD解释出来是几百亿的垃圾值。证书校验这块WinHTTP 默认走系统信任链正常情况下不用管。如果内网遇到自签证书失败标准做法是把根证书导入系统存储而不是关校验。真要临时排障可以设// 临时排障用忽略证书链和主机名错误。上线前必须删掉这段 DWORD secFlags SECURITY_FLAG_IGNORE_UNKNOWN_CA | SECURITY_FLAG_IGNORE_CERT_CN_INVALID; WinHttpSetOption(hRequest, WINHTTP_OPTION_SECURITY_FLAGS, secFlags, sizeof(secFlags));SECURITY_FLAG_IGNORE_CERT_CN_INVALID关的是主机名匹配SECURITY_FLAG_IGNORE_UNKNOWN_CA关的是链验证SECURITY_FLAG_IGNORE_CERT_DATE_INVALID关的是有效期。这三个关掉中间人就能任意伪造响应内网里也不该这么干。5. 避坑与排查两端都栽过的五个坑两套实现都跑通之后真正的麻烦才开始。下面五条是我在被测试追着问「为什么这边能通那边不通」的过程中攒下来的现象、原因、解决一起写照着对照基本能定位。5.1 curl 发 POST 偶发变成 GET或者 body 是上一次的现象循环里发一批请求前面几条正常中间某条服务端报 405 或说参数缺失抓包发现方法变成了 GET。原因同一个CURL*handle 被反复用但没有curl_easy_reset。上一次设的CURLOPT_POST还生效而这次调用只设了CURLOPT_URL于是「POST 到新 URL」或者「上一轮的 body 指针还挂着」。更隐蔽的一种是CURLOPT_POSTFIELDS指向的字符串已经析构curl 读到了脏内存。解决每次请求开头调curl_easy_reset(h)然后重新设URL和所有必要选项。POSTFIELDS指向的缓冲区生命周期必须覆盖curl_easy_perform全程宁可用函数参数按引用传也不要在调用处写client.Post(url, BuildBody().c_str())这种临时对象。LOCAL 数据里用POSTFIELDSIZE_LARGE显式给长度双重保险。5.2 响应体读回来少了一半或者结尾多出乱码现象接口返回的 JSON 被截断parse报「unexpected end of input」下载二进制文件大小总比实际少几百字节。原因写回调里用strlen或std::string(ptr)去构造。响应体里一旦出现\0二进制文件、压缩数据、UTF-16 文本都有字符串就到头了。或者回调返回值写成了「已写入的字节数」不是本次的size * nmembcurl 判定为短写会中止传输。解决回调里一律append(ptr, size * nmemb)返回值必须是size * nmemb。std::string存二进制是完全没问题的但后面对长度的一切计算都必须用.size()包括写文件时的fwrite长度参数。5.3 WinHTTP 的 POST 被 302 之后方法变了、body 丢了现象提交表单返回 302WinHTTP 跟了重定向最后拿到 200但服务端说你没提交数据。原因这是 HTTP 规范行为301/302 之后是否保持原方法由客户端决定主流客户端包括 curl 的默认行为都会把 POST 降级成 GETbody 自然丢掉。业务上如果依赖提交结果跟重定向就是错的。解决对提交类接口WinHttpOpenRequest传WINHTTP_DISABLE_REDIRECTS自己读Location头决定下一步这样至少知道发生了什么。curl 侧用CURLOPT_FOLLOWLOCATION配合CURLOPT_POSTREDIR控制哪几种重定向保持 POST一般只对 307/308 保持301/302 保持反而危险。5.4 同一台机器curl 能通WinHTTP 超时现象开发机上两种实现都正常一到客户环境curl 版本正常WinHTTP 版本连接超时日志里只有一句12002超时。原因代理策略不一致。curl 读的是进程环境变量里的代理配置跑在命令行里继承的是当前用户的环境WinHTTP 的WINHTTP_ACCESS_TYPE_AUTOMATIC_PROXY读的是系统的 WinINet 配置浏览器那套如果这台机器上装了某个代理客户端但没在系统设置里配或者反过来两者行为就分叉。12002是ERROR_WINHTTP_TIMEOUT看错误码能确定是超时但看不出是卡在解析、建连还是发送。解决先用WINHTTP_ACCESS_TYPE_NO_PROXY排掉代理干扰确认直连能通再接回自动模式。要打印细节用WinHttpQueryOption查WINHTTP_OPTION_CONNECTION_INFO和当前代理配置或者干脆在会话创建后查一下WINHTTP_OPTION_PROXY。curl 侧同样CURLOPT_PROXY显式设成空串可以强制忽略环境变量排障时很有用。5.5 关掉证书校验后「好了」上线一周后半夜报警现象内网自签证书环境下关掉CURLOPT_SSL_VERIFYPEER后一切正常上线几天后部分机器开始报证书错误而代码没动过。原因证书到期、被替换、或者机器时间漂移。关掉校验等于把这些信号全屏蔽了问题不会消失只是延后到某个别的地方暴露比如证书被换成一个中间人证书客户端照收不误。解决正确路径是把根证书导进系统存储WinHTTP 天然认curl 侧用CURLOPT_CAINFO指定包含该根证书的 PEM 包CURLOPT_SSL_VERIFYPEER保持 1、CURLOPT_SSL_VERIFYHOST保持 2。临时关闭只能出现在分支代码里加个明显的 TODO 和日志别留在主路径上。6. 把两套实现收进一个接口抽象层与验证清单跑通之后工程上真正要做的是让调用方不关心底层是 curl 还是 WinHTTP。做法很朴素定义一个纯虚接口两套实现各自继承编译期按平台选实现运行期可以按配置切换方便在客户环境里现场对比。// http_client.h —— 调用方只依赖这个不依赖任何第三方头 #pragma once #include string #include map struct HttpResult { long status 0; std::string body; std::string err; }; class IHttpClient { public: virtual ~IHttpClient() default; virtual HttpResult Get(const std::string url, const std::mapstd::string, std::string headers, int timeoutMs) 0; virtual HttpResult Post(const std::string url, const std::string body, const std::string contentType, const std::mapstd::string, std::string headers, int timeoutMs) 0; }; // 工厂编译期决定默认实现也允许运行时用环境变量强制切换做对比 IHttpClient* CreateHttpClient(const std::string kind); // curl | winhttp统一接口之后行为差异必须抹平不然切换实现就是换一堆 bug。至少要在这几个点上对齐状态码为 0 时的语义统一约定为「请求未完成看 err」超时的三段参数映射curl 的CONNECTTIMEOUT_MSTIMEOUT_MS对应 WinHTTP 的前两个和第四个参数重定向策略统一关掉自动跟随让业务层显式处理错误信息格式统一成「阶段: 错误码 描述」方便日志检索。验证这块我一般跑一张固定清单不靠感觉用例构造方式期望正常 GET返回固定 JSON 的接口200body 字节数完全一致中文 POSTbody 含中文声明 utf-8服务端收到的长度等于body.size()二进制响应下载一个 1MB 的图片落盘后校验和一致大响应返回 20MB 文本不 OOM分块读取完整404 / 500故意打错路径status 正确err 为空域名不存在主机名乱填err 非空status 为 0且 3 秒内返回证书错误用 IP 直连只签了域名的站点err 含证书相关描述代理环境设一个不可用的代理超时报错不是静默挂死最后一条经验是从一次线上事故里换来的那个服务每半小时拉一次配置写的时候图省事把 curl 的 handle 放在全局变量里主线程和定时任务线程共用。单测环境一切正常压测时偶发崩溃堆栈指在一个根本不存在的地址上查了两天才定位到是 handle 跨线程。从那以后我每次封装 HTTP 客户端都强制走一遍「一线程一 handle reset 显式长度」这三件事不管这个模块看起来多简单。希望帮到你。本文还有配套的精品资源点击获取