SSL证书验证失败的常见场景
在使用httpx库的send_handling_redirects方法时，开发者经常遇到SSL证书验证失败（SSL certificate verify failed）的错误。这种情况通常发生在以下几种场景：
- 访问自签名证书的测试环境
- 企业内网使用私有CA签发的证书
- 证书链不完整或已过期
- 系统时钟偏差导致证书有效期检查失败
- 代理服务器修改了HTTPS流量
问题根源分析
HTTPX库默认会启用严格SSL验证，这是出于安全考虑的最佳实践。当客户端无法验证服务器证书时，会抛出httpx.ConnectError或ssl.SSLError异常。底层机制是通过操作系统或Python安装的CA根证书库进行验证。
# 典型错误示例
response = client.send_handling_redirects(request)
# 抛出: SSL: CERTIFICATE_VERIFY_FAILED解决方案
1. 临时禁用验证（不推荐生产环境）
对于测试环境，可以临时禁用SSL验证：
client = httpx.Client(verify=False)
response = client.send_handling_redirects(request)注意：这会降低安全性，使通信容易受到中间人攻击。
2. 指定自定义CA证书包
对于私有CA签发的证书，可以指定证书路径：
client = httpx.Client(verify="/path/to/custom/ca-bundle.crt")
response = client.send_handling_redirects(request)3. 操作系统级解决方案
在Linux系统更新CA证书存储：
sudo update-ca-certificates在Windows系统通过MMC管理控制台导入证书。
最佳实践建议
- 开发环境使用信任的测试证书而非完全禁用验证
- 生产环境确保使用正规CA签发的证书
- 定期检查证书有效期和信任链
- 使用
certifi包提供跨平台CA证书
高级配置示例
结合环境变量实现灵活的证书管理：
import os
import ssl
import httpx
ctx = ssl.create_default_context()
ctx.load_verify_locations(cafile=os.getenv("SSL_CA_BUNDLE"))
client = httpx.Client(verify=ctx)
性能与安全权衡
虽然禁用SSL验证可以提高请求速度，但会带来以下风险：
| 方案 | 安全性 | 性能 |
|---|---|---|
| 严格验证 | 高 | 低 |
| 自定义CA | 中 | 中 |
| 禁用验证 | 低 | 高 |