Python请求-如何使用系统ca证书（debian/ubuntu）？

Question

我已经将一个自签名的根ca证书安装到debian的/usr/share/ca证书/本地中，并使用sudo dpkg-reconfiure ca证书安装它们。此时，true|gnutls-climysite.local感到高兴，true|openssls_client连接mysite.local:443感到高兴，但是python2和python3请求模块坚持认为它对证书不满意。

蟒蛇2：

Traceback (most recent call last):
  File "<string>", line 1, in <module>
  File "/usr/local/lib/python2.7/site-packages/requests/api.py", line 70, in get
    return request('get', url, params=params, **kwargs)
  File "/usr/local/lib/python2.7/site-packages/requests/api.py", line 56, in request
    return session.request(method=method, url=url, **kwargs)
  File "/usr/local/lib/python2.7/site-packages/requests/sessions.py", line 488, in request
    resp = self.send(prep, **send_kwargs)
  File "/usr/local/lib/python2.7/site-packages/requests/sessions.py", line 609, in send
    r = adapter.send(request, **kwargs)
  File "/usr/local/lib/python2.7/site-packages/requests/adapters.py", line 497, in send
    raise SSLError(e, request=request)
requests.exceptions.SSLError: ("bad handshake: Error([('SSL routines', 'ssl3_get_server_certificate', 'certificate verify failed')],)",)

蟒蛇3

Traceback (most recent call last):
  File "<string>", line 1, in <module>
  File "/usr/local/bin/python3.5/site-packages/requests/api.py", line 70, in get
    return request('get', url, params=params, **kwargs)
  File "/usr/local/bin/python3.5/site-packages/requests/api.py", line 56, in request
    return session.request(method=method, url=url, **kwargs)
  File "/usr/local/bin/python3.5/site-packages/requests/sessions.py", line 488, in request
    resp = self.send(prep, **send_kwargs)
  File "/usr/local/bin/python3.5/site-packages/requests/sessions.py", line 609, in send
    r = adapter.send(request, **kwargs)
  File "/usr/local/bin/python3.5/site-packages/requests/adapters.py", line 497, in send
    raise SSLError(e, request=request)
requests.exceptions.SSLError: ("bad handshake: Error([('SSL routines', 'ssl3_get_server_certificate', 'certificate verify failed')],)",)

Answer 1

我的两分钱：

多亏了这个让我检查了实际请求代码的回答，我发现您不必使用env变量，只需在请求中设置“verify”参数即可：

requests.get("https://whatever", verify="/my/path/to/cacert.crt", ...)

它也有文档记录，尽管我只有在发现后才能找到文档（pypi项目指向doc的死链接）：D

Answer 2

我最近为此挣扎了一周左右。我终于找到了在Python中验证自签名或私人签名证书的方法。您需要创建自己的证书捆绑文件。无需在每次更新库或向系统证书存储区添加任何内容时更新晦涩的证书包。

首先运行之前运行的openssl命令，但添加-showcerts<代码>openssl s_客户端-连接mysite。local:443-showcerts这将为您提供一个长输出，在顶部您将看到整个证书链。通常，这意味着三个证书，即网站证书、中间证书和根证书。我们只需要将根证书和中间证书按相反的顺序放入下一个文件中。

将最后一个证书（根证书）复制到一个新的文本文件中。抓住中间的东西，包括：

-----BEGIN CERTIFICATE-----
...
-----END CERTIFICATE-----

将中间证书（也称为中间证书）复制到根证书下的新文本文件中。再次抓取开始和结束证书行以及其间的所有内容。

将此文本文件保存到Python脚本所在的目录中。我建议称之为CertBundle。pem。（如果您给它一个不同的名称，或者将它放在文件夹结构的其他位置，请确保验证行反映了这一点。）更新脚本以引用新的证书捆绑包：

response = requests.post("https://www.example.com/", headers=headerContents, json=bodyContents, verify="CertBundle.pem")

就这样。如果您只有根证书或中间证书，那么Python无法验证整个证书链。但是，如果您在创建的证书捆绑包中同时包含这两个证书，那么Python可以验证中间证书是否由根用户签名，然后当它访问网站时，可以验证网站的证书是否由中间证书签名。

编辑：修复了证书捆绑包的文件扩展名。此外，修正了几个语法错误。

Answer 3

从https://stackoverflow.com/a/33717517/1695680

要使python请求使用系统ca证书捆绑包，需要告诉它通过自己的嵌入式捆绑包使用它

export REQUESTS_CA_BUNDLE=/etc/ssl/certs/ca-certificates.crt

请求将其捆绑包嵌入此处，以供参考：

/usr/local/lib/python2.7/site-packages/requests/cacert.pem
/usr/lib/python3/dist-packages/requests/cacert.pem

或在较新版本中，使用附加程序包从以下位置获取证书：https://github.com/certifi/python-certifi

要验证从哪个文件加载证书，您可以尝试：

Python 3.8.5 (default, Jul 28 2020, 12:59:40) 
>>> import certifi
>>> certifi.where()
'/etc/ssl/certs/ca-certificates.crt'