ssl验证失败的真正触发点是python ssl模块在https握手时证书链验证环节中断，具体检查证书是否由信任根ca签发、是否在有效期内、域名是否匹配、能否回溯至可信根证书，任一失败即抛sslcertverificationerror。

根本原因不是 pip 坏了，而是 Python 在 HTTPS 握手时无法确认服务器证书可信——它卡在了证书链验证环节。

SSL验证失败的真正触发点在哪里

Python 的 ssl 模块会严格检查四件事：证书是否由系统信任的根 CA 签发、是否在有效期内、域名是否匹配（Subject Alternative Name）、能否回溯到一个已知可信的根证书。任意一环断掉，就抛 SSLCertVerificationError，终端显示 CERTIFICATE_VERIFY_FAILED。

常见实际卡点包括：

• 系统时间偏差超过几分钟（比如虚拟机休眠后未同步）
• 企业代理（如 Zscaler、BlueCoat）做了 HTTPS 中间人解密，但 Python 没加载它的根证书
• Windows/macOS 上的 Python 预编译包捆绑的是旧版 certifi，不认 Let’s Encrypt 新链（ISRG Root X1/X2）
• _ssl 模块根本不可用（运行 python -c "import ssl; print(ssl.OPENSSL_VERSION)" 报错即证实）

为什么 --trusted-host 经常不管用

这个参数只跳过「域名证书签名验证」，但它不修复时间错误、不补全证书链、也不解决 _ssl 模块缺失问题。

Python 3.14.2

Python 3.14.2是Python编程语言在2025年12月5日发布的稳定版本，属于3.14系列的第二个维护更新。该版本包含了18项修复，重点解决了多进程、数据类及正则表达式等模块的回归问题，并修复了CVE-2025-12084等安全漏洞。此版本标志着自由线程模式（移除GIL）正式获得官方支持，是Python发展的重要里程碑。

下载

典型失效场景：

• 命令写成 pip install requests -i https://pypi.tuna.tsinghua.edu.cn/simple/ --trusted-host pypi.org ——--trusted-host 必须紧跟在 -i 后面或放在最前
• 只加了 pypi.org，但实际下载走的是 files.pythonhosted.org，后者证书独立，必须单独信任
• 系统时间错误导致证书“尚未生效”，此时信任哪个 host 都无效

该优先升级 certifi 还是重装 Python

90% 的情况只需升级 certifi，但必须确认 Python 实际加载的是新证书文件，而不是缓存旧路径。

• 执行 pip install --upgrade certifi（加 --user 可避免权限问题）
• 验证路径：python -c "import certifi; print(certifi.where())" —— 输出应指向你刚升级的 site-packages/certifi/cacert.pem
• 若用 conda，运行 conda update certifi；注意 conda 环境可能有独立证书路径，certifi.where() 会返回 anaconda3/ssl/cacert.pem
• PyCharm 等 IDE 会缓存解释器配置，升级后需重启 Python 控制台或重载解释器

真正容易被忽略的是：升级 Python 不等于升级证书 ——certifi 是独立包，且不同环境（系统 Python / pyenv / conda / venv）可能各自维护一份证书路径，改了一个地方，其他地方未必同步。

Python免费学习笔记（深入）：立即使用
在学习笔记中，你将探索 Python 的核心概念和高级技巧！