python 请求 SSL 错误(证书验证失败)

Question

我已经为我的服务器和客户端生成了以下自签名证书。

我已经创建了 ca.crt 和 ca.key。使用 ca.crt 和 ca.key，我分别为服务器创建了 server.crt、server.key 和为客户端创建了 client.crt、client.key。

我正在使用 python 请求库作为客户端。下面是代码片段:

import json
import requests

cert = ("/home/tests/certs/client.crt",
        "/home/tests/certs/client.key")


class TestCart():

    def test_cart(self, **kwargs):
        url = "https://192.168.X.Y/cart"
        cart_data = {
            'id': kwargs.get('id'),
            'items': kwargs.get('items')
        }
        req_data = json.dumps(cart_data)
        resp = requests.post(url,
                             data=req_data,
                             verify="/home/certs/ca.cert",
                             cert=cert)
        print resp.text


if __name__ == '__main__':
    t_cart = TestCart()
    data = {'id': 'ba396e79-0f0f-4952-a931-5a528c9ff72c', 'items': []}
    t_cart.test_cart(**data)

这给出了异常(exception):

requests.exceptions.SSLError: HTTPSConnectionPool(host='192.168.X.Y', 
port=443): Max retries exceeded with url: /cart (Caused by 
SSLError(SSLError(1, u'[SSL: CERTIFICATE_VERIFY_FAILED] certificate verify 
failed (_ssl.c:590)'),))

如果我使用 verify=False，代码可以工作，但我想验证。我的请求中verify 的值应该是多少？

Answer 1

强烈建议深入了解请求的优秀文档。它有一个关于SSL Cert Validation的特殊章节这解释了:

You can pass verify the path to a CA_BUNDLE file or directory with certificates of trusted CAs:

>>> requests.get('https://github.com', verify='/path/to/certfile')

假设您的服务器证书是由您的 ca.crt 签署的，您应该将其用于 verify 参数。

编辑:根据讨论，CA 和服务器证书似乎使用了相同的主题。这意味着证书验证假定这是一个自签名证书，因此会导致证书验证错误。