如何解决Python中requests库session.cert_verify方法导致的SSL证书验证失败问题？

在使用Python的requests库进行网络请求时，开发人员经常会遇到SSL/TLS证书验证相关的问题。其中session.cert_verify方法是控制证书验证行为的关键配置项，不当的设置可能导致连接失败或安全隐患。本文将深入探讨一个典型问题："SSL证书验证失败"的解决方案。

1. 问题现象描述

当开发者调用requests.Session()发起HTTPS请求时，可能会遇到以下异常：

requests.exceptions.SSLError: HTTPSConnectionPool(host='example.com', port=443):
Max retries exceeded with url: / (Caused by SSLError(SSLCertVerificationError(1,
'[SSL: CERTIFICATE_VERIFY_FAILED] certificate verify failed: unable to get local
issuer certificate (_ssl.c:1123)')))

2. 根本原因分析

SSL证书验证失败通常由以下原因导致：

自签名证书：目标服务器使用了未经CA认证的证书
证书链不完整：服务器未正确配置中间证书
本地CA证书缺失：Python环境缺少根证书库
证书过期：服务器证书已超过有效期
域名不匹配：证书中的CN与访问域名不符

3. 解决方案实施

3.1 临时禁用验证（仅限开发环境）

通过设置session.verify = False可以临时绕过验证：

import requests
session = requests.Session()
session.verify = False  # 禁用证书验证
response = session.get('https://example.com')

⚠️ 警告：此方法会降低安全性，生产环境绝对禁用！

3.2 指定自定义CA证书包

对于自签名证书，可以指定本地证书文件：

session.verify = '/path/to/custom/cacert.pem'  # 使用自定义CA证书

3.3 更新证书存储库

安装certifi包获取最新CA证书：

pip install --upgrade certifi
import certifi
session.verify = certifi.where()  # 使用certifi的CA证书

3.4 高级证书处理

对于复杂场景，可以自定义验证逻辑：

from urllib3.util.ssl_ import create_urllib3_context

class CustomSSLAdapter(requests.adapters.HTTPAdapter):
    def init_poolmanager(self, *args, **kwargs):
        ctx = create_urllib3_context()
        ctx.load_verify_locations(cafile='/path/to/certs.pem')
        kwargs['ssl_context'] = ctx
        return super().init_poolmanager(*args, **kwargs)

session.mount('https://', CustomSSLAdapter())

4. 最佳实践建议

生产环境必须保持证书验证开启
定期更新CA证书存储(certifi)
对于内部服务，建议部署正规CA签发的证书
使用证书透明度日志监控证书状态
考虑实现证书钉扎(HPKP)增强安全性

5. 诊断工具推荐

工具	用途
openssl s_client	检查证书链完整性
SSL Labs测试	全面评估服务器SSL配置
Wireshark	抓包分析TLS握手过程

通过合理配置session.cert_verify和相关参数，开发者可以在保证安全性的前提下灵活处理各种证书验证场景。建议优先采用更新证书库的方案，这既能维护安全性又无需修改大量代码。