如何在Python中处理OpenSSL证书验证失败SSLError-Python教程-PHP中文网

ssl证书验证失败时应优先修复服务端证书；若需对接内网环境，用verify指定可信pem路径而非禁用验证；docker等最小化系统需安装ca-certificates包或手动指定cafile；urllib需构造httpshandler注入ssl上下文；curl能通而python失败常因证书路径不同或代理替换证书。

如何在python中处理openssl证书验证失败sslerror

SSL证书验证失败时，`requests` 报 `SSLError: CERTIFICATE_VERIFY_FAILED` 怎么办

这不是代码写错了，而是 Python 默认启用证书验证，而目标服务器用了自签名证书、过期证书、域名不匹配证书，或系统缺少根证书信任链。直接禁用验证（verify=False）能跑通，但会埋下中间人攻击风险，仅限调试。

实操建议：

优先让服务端修复证书：使用由可信 CA 签发的有效证书，且 Subject Alternative Name 包含实际访问的域名
若必须对接测试/内网环境，用 verify= 指向一个可信的 PEM 文件路径，而不是关验证：
```
requests.get("https://test.internal", verify="/path/to/ca-bundle.crt")
```

临时调试可加 verify=False，但务必同时 suppress 警告，否则每次请求都抛 InsecureRequestWarning：

import requests
from urllib3.exceptions import InsecureRequestWarning
requests.packages.urllib3.disable_warnings(InsecureRequestWarning)
requests.get("https://dev-server", verify=False)

为什么 `ssl.create_default_context()` 有时也验证失败

Python 的 ssl.create_default_context() 默认加载系统信任根证书（Linux 读 /etc/ssl/certs/ca-certificates.crt，macOS 用 Keychain，Windows 用 CryptoAPI），但某些 Docker 镜像（如 python:slim）或最小化系统压根没装证书包，导致上下文“空信任”，任何 HTTPS 请求都失败。

检查方法：

import ssl
ctx = ssl.create_default_context()
print(len(ctx.get_ca_certs()))  # 若输出 0，说明没加载到任何根证书

修复方式：

Docker 中补全证书：在 Dockerfile 加 RUN apt-get update && apt-get install -y ca-certificates（Debian/Ubuntu）或 yum install -y ca-certificates（CentOS/RHEL）

手动指定证书路径：

ctx = ssl.create_default_context(cafile="/etc/ssl/certs/ca-certificates.crt")

避免用 ssl._create_unverified_context() —— 它绕过全部验证，且是私有 API，PyPy 或新版 CPython 可能移除

使用 `urllib.request` 时如何传入自定义证书

urllib.request 不像 requests 那样支持 verify= 参数，需显式构造 HTTPSHandler 并注入 SSL 上下文。

python全能编程助手

SkillSub Pro - Python 题解与代码注释双功能技能功能概述SkillSub Pro - Python 题解与代码注释双功能技能是一项面向实际任务的技能，主要用于SkillSub Pro 是一个 Python 题解生成与代码注释的双功能合体技能，专为学生、算法学习者和开发者设计；✅ 一个技能，两种用途：；核心要点📝 题解模式：输入题目/题号，自动生成完整 Python 题解（含详细注释、解题思路、复杂度分析）；💬 注释模式：输入 Python 代码，自动添加详细中。它将相关步骤、

下载

正确做法：

创建带证书的上下文：

import ssl
import urllib.request
<p>ctx = ssl.create_default_context(cafile="/path/to/my-ca.pem")
handler = urllib.request.HTTPSHandler(context=ctx)
opener = urllib.request.build_opener(handler)
urllib.request.install_opener(opener)</p><h1>后续所有 urllib.request.urlopen() 都自动使用该上下文</h1><p>resp = urllib.request.urlopen("<a href="https://www.php.cn/link/710ba53b0d353329706ee1bedf4b9b39">https://www.php.cn/link/710ba53b0d353329706ee1bedf4b9b39</a>")</p>

不要用 context=ssl._create_unverified_context()，它等价于全局关验证
若证书链包含中间证书，确保 cafile 是完整 PEM（根 + 中间证书拼在一起），顺序无关，但必须是 PEM 格式，不能是 DER

证书验证失败但 `curl -v` 能通，怎么回事

常见原因是 curl 默认信任系统证书，而 Python 使用的证书路径和 curl 不同；或者 curl 命令里隐式加了 -k（即 --insecure），相当于关验证。

排查步骤：

查 curl 实际行为：curl -v https://host 2>&1 | grep "CAfile"，看它用的是哪个证书 bundle
对比 Python 加载路径：
```
import ssl
print(ssl.get_default_verify_paths())
```
，重点关注 openssl_cafile 字段
若 Python 找不到证书，可通过环境变量强制指定：export SSL_CERT_FILE=/etc/ssl/certs/ca-certificates.crt（Linux/macOS）或设置 certifi.where() 返回路径（需先 pip install certifi）

最易被忽略的一点：有些公司内网代理会替换 HTTPS 流量并签发自己的根证书——这时不仅要安装该根证书到系统，还得确保 Python 进程启动时能读到它，比如在容器中挂载证书文件并设 SSL_CERT_FILE。