IIASK插件库

Python requests库post方法常见问题：如何解决SSL证书验证失败？

更新时间

一、SSL证书验证失败的核心问题

当使用requests.post()访问HTTPS接口时，最常见的报错之一是SSLError，其典型错误信息为：

requests.exceptions.SSLError: HTTPSConnectionPool(host='example.com', port=443): 
Max retries exceeded with url: /api (Caused by SSLError(SSLCertVerificationError(1, 
'[SSL: CERTIFICATE_VERIFY_FAILED] certificate verify failed: unable to get local issuer 
certificate (_ssl.c:1123)')))

该错误发生的根本原因是SSL/TLS握手失败，具体可分为以下几种情况：

  • 自签名证书未受信任
  • 证书链不完整
  • 系统时间偏差超过证书有效期
  • 服务器配置了SNI但客户端未支持

二、解决方案深度解析

1. 临时禁用证书验证（仅开发环境）

在测试环境下可临时关闭验证，但绝对不要在生产环境使用：

response = requests.post(url, data=payload, verify=False)

⚠️ 这会使得通信容易受到中间人攻击，导致敏感信息泄露

2. 指定自定义CA证书包

推荐将服务器证书或CA证书保存为.pem文件后：

response = requests.post(url, data=payload, verify='/path/to/certificate.pem')

可通过OpenSSL生成证书链：

openssl s_client -showcerts -connect example.com:443 < /dev/null > chain.pem

3. 系统级证书配置

Linux系统可更新证书存储：

sudo apt-get install ca-certificates  # Debian/Ubuntu
sudo yum install ca-certificates     # CentOS/RHEL

4. 使用certifi库增强验证

Python的certifi库提供最新CA证书：

import certifi
response = requests.post(url, data=payload, verify=certifi.where())

三、高级场景解决方案

处理证书固定（Certificate Pinning）

对于需要严格安全验证的场景：

from requests.packages.urllib3.util.ssl_ import create_urllib3_context
ctx = create_urllib3_context()
ctx.load_verify_locations(cafile='custom_ca.pem')
response = requests.post(url, data=payload, verify=True, ssl_context=ctx)

代理环境下的特殊处理

当通过企业代理访问时，可能需要：

session = requests.Session()
session.trust_env = False
response = session.post(url, proxies={"https": "http://proxy:port"})

四、最佳实践建议

  1. 开发环境使用verify=False时应添加警告日志
  2. 生产环境必须配置完整的证书链
  3. 定期更新CA证书存储（推荐每月更新）
  4. 对于金融类API，实施双向证书验证