Python InsecureRequestWarning的真正含义是什么？

Question

我收到警告：

/.../local/lib/python2.7/site-packages/requests/packages/urllib3/connectionpool.py:734: InsecureRequestWarning: Unverified HTTPS request is being made. Adding certificate verification is strongly advised. See: https://urllib3.readthedocs.org/en/latest/security.html
  InsecureRequestWarning)

我在看医生。

我看到很多关于如何禁用它的帖子，如果我知道我在做什么，就像这一个。

一个有用的总结（或者只是一个正确方向的观点）将非常感谢，这样我就可以决定是否禁用它。我的直觉是我不应该禁用它，所以我想知道如何正确地解决这个问题。

Answer 1

我很高兴你没有简单地禁用警告。很好的问题，实际上！这里所需要的是对“信任链”如何运作的基本理解。这并不遗憾，许多人对此一无所知。但是，作为一个开发人员应该知道基础知识！去吧，也许读一下整件事是如何运作的。

简而言之，TLS旨在保证保密性、真实性和完整性。安全社区的常识是(*):如果没有证书验证，您将无法获得这三项内容，因为您容易受到中间人攻击。也就是说，验证证书，或者干脆停止使用HTTPS。这就是警告的意义所在。

更多的上下文：这个安全体系结构的一部分是，远程主机声称拥有一个由信任链中更高的人签名的证书，即所谓的证书颁发机构(CA)。客户端需要验证此CA是否确实签署了有问题的证书。为了使这种验证工作，客户机需要一个本地数据库，其中包含许多CAs的公钥（将这些CAs看作“信任锚”，其集合可以称为“证书束”）。

我不明白为什么我需要一个证书来向第三方API发出安全请求

请阅读其他地方的细节。但是，为了完整地回答这个问题，这是一个高级抽象，应该澄清为什么需要一些外部信息来源：

• 您的客户端不信任远程端。
• 因此，您的客户端需要让第三方参与进来，并询问远程端的可信度。
• 第三方是许多CAs公钥的本地数据库，即所谓的“证书包”。