如何在Python中从请求中获得响应SSL证书？

Question

做这件事的好方法是什么？

Answer 1

requests故意包装像这样的低级内容。通常，您要做的唯一一件事就是验证证书是否有效。为此，只需传递verify=true。如果您想使用非标准的cacert包，您也可以通过它。例如：

resp = requests.get('https://example.com', verify=True, cert=['/path/to/my/ca.crt'])

此外，requests主要是围绕其他库的一组包装器，主要是urllib3和stdlib的http.client（对于2.x来说，httplib)和SSL。

有时，答案只是获取较低级别的对象（例如，resp.raw是urllib3.response.httpresponse)，但在许多情况下，这是不可能的。

这就是其中之一。看到证书的唯一对象是http.client.httpsconnection（或urllib3.connectionpool.verifiedhttpsconnection，但这只是前者的一个子类）和ssl.ssocket，在请求返回时这两个对象都不存在了。（正如名称ConnectionPool所暗示的那样，HttpsConnection对象存储在池中，一旦完成就可以重用；SSLSocket是HttpsConnection的成员。）

因此，您需要修补东西，以便可以将数据复制到链上。可能就这么简单：

HTTPResponse = requests.packages.urllib3.response.HTTPResponse
orig_HTTPResponse__init__ = HTTPResponse.__init__
def new_HTTPResponse__init__(self, *args, **kwargs):
    orig_HTTPResponse__init__(self, *args, **kwargs)
    try:
        self.peercert = self._connection.sock.getpeercert()
    except AttributeError:
        pass
HTTPResponse.__init__ = new_HTTPResponse__init__

HTTPAdapter = requests.adapters.HTTPAdapter
orig_HTTPAdapter_build_response = HTTPAdapter.build_response
def new_HTTPAdapter_build_response(self, request, resp):
    response = orig_HTTPAdapter_build_response(self, request, resp)
    try:
        response.peercert = resp.peercert
    except AttributeError:
        pass
    return response
HTTPAdapter.build_response = new_HTTPAdapter_build_response

这是未经测试的，所以没有保证；您可能需要修补的不止这些。

此外，子类和重写可能比monkeypatching更干净（特别是因为HttpAdapter被设计为子类）。

或者，更好的方法是分叉urllib3和请求，修改您的分叉，并（如果您认为这样做合法有用的话）向上游提交请求。

无论如何，现在，从您的代码中，您可以这样做：

resp.peercert