根本原因是pip强制SSL证书验证但系统缺少可信CA证书链或Python未正确加载证书；常见于macOS/Windows环境证书路径异常、企业代理拦截、Docker精简镜像缺ca-certificates，或Python编译时未启用OpenSSL支持。
这不是网络不通，而是 pip 在验证 HTTPS 证书时失败了。 错误里出现 Could not fetch URL https://pypi.org/simple/xxx/ + CERTIFICATE_VERIFY_FAILED 或 Max retries exceeded，基本可以排除“没网”，重点查证书信任链、源地址配置和 Python 自身 SSL 支持是否完整。
为什么 pip install 会卡在证书验证这一步
Python 的 pip 默认强制校验 PyPI 服务器的 HTTPS 证书，就像浏览器访问银行网站必须确认对方身份一样。一旦系统找不到可信的根证书（CA bundle），或证书路径没被正确加载，就会直接放弃连接——哪怕你能用浏览器打开 pypi.org，pip 仍可能报错。常见诱因包括：
- 系统证书库损坏，或
certifi包过旧（尤其 Python 3.6–3.9 环境） - 公司内网用了中间人代理（如 Zscaler、Sangfor），它签发的证书未被 Python 信任
- macOS 升级后 OpenSSL 路径变更，但 pip 还在找老位置
- Windows 上从 python.org 下载的安装包自带
cacert.pem，但 pip 没自动读取 - Docker 构建或 CI 环境中，基础镜像精简掉了 CA 证书（如
python:slim）
pip install -i 换国内源能绕过吗
能临时缓解，但不解决根本问题。换源只是把请求从 https://pypi.org 切到 http://pypi.douban.com 这类 HTTP 镜像（注意：豆瓣源是 HTTP，不走 SSL 验证），所以跳过了证书环节。但它有明显局限：
- 部分镜像已弃用 HTTP（如清华源只支持 HTTPS），换源后仍要面对证书问题
- HTTP 源存在中间人篡改风险，不适用于生产环境或敏感项目
- 如果错误提示里域名是
pypi.org.fimple这种拼写错误，说明 pip 配置文件里写错了源地址，换源命令也救不了
推荐组合使用：pip install -i https://pypi.tuna.tsinghua.edu.cn/simple/ --trusted-host pypi.tuna.tsinghua.edu.cn xxx（注意是 HTTPS + --trusted-host）。
怎么确认 pip 实际用了哪个证书文件
运行 pip debug --verbose，看输出里 cert_path 字段指向哪里。如果显示 None 或路径不存在，说明 pip 根本没加载到证书；如果路径存在但内容陈旧（比如是 2020 年的 cacert.pem），就得更新。
- 更新证书最稳的方式：
pip install --upgrade certifi - 手动指定证书路径：
pip config set global.cert "/path/to/cacert.pem"（Linux/macOS 用正斜杠，Windows 用双反斜杠或正斜杠都行） - 企业内网需合并代理根证书：用
cat proxy-root.crt >> $(python -m certifi)把代理证书追加进当前 certifi bundle
还有个容易被忽略的致命点：SSL 模块本身不可用
如果错误里夹着 Can't connect to HTTPS URL because the SSL module is not available，那不是证书问题，是 Python 编译时漏了 OpenSSL 支持。常见于：
- Docker 中用了
python:alpine镜像，但没装openssl和ca-certificates包 - 自己编译 Python 时没指定
--with-openssl - 某些 Miniconda 安装损坏了
_ssl扩展模块
验证方式：启动 Python，执行 import ssl; print(ssl.OPENSSL_VERSION)。若报 ModuleNotFoundError 或返回空，就得重装 Python 或补依赖，certifi 升级也救不了。
