python - ssl.SSLError : [SSL: CERTIFICATE_VERIFY_FAILED] certificate verify failed, Python 套接字、ssl、gmail smtp 连接

Question

我想使用安全套接字连接到 gmail SMTP 服务器。我已经使用我的浏览器 - Firefox 下载了 mail.google.com.crt 证书文件(我只是打开了一个 gmail.com 页面，然后使用我的浏览器导出了证书导出证书按钮)。

不过好像有问题，不知道是什么原因。当我将 mail.google.com.crt 更改为 GeoTrustGlobalCA.pem(我在网上某处找到它)时，它起作用了(没有显示错误)。我是不是没看懂？

if __name__ == '__main__':

    HOST = 'smtp.gmail.com'
    PORT = 465

    sock = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
    sock.connect((HOST, PORT))

    context = ssl.SSLContext(ssl.PROTOCOL_SSLv23)
    context.verify_mode = ssl.CERT_REQUIRED
    context.load_verify_locations('mail.google.com.crt')

    # check SNI extension
    if ssl.HAS_SNI:
        secure_sock = context.wrap_socket(sock, server_hostname=HOST)
    else:
        secure_sock = context.wrap_socket(sock)

    cert = secure_sock.getpeercert()
    print cert

    if not cert or ('commonName', 'smtp.google.com') not in cert['subject'][4]: raise Exception("erroe" )

    secure_sock.recv(1024)

    secure_sock.close()
    sock.close()

Answer 1

context.load_verify_locations('mail.google.com.crt')

验证位置应包含受信任的 CA 证书。您指定的服务器证书不是 CA 证书。来自documentation :

Load a set of “certification authority” (CA) certificates used to validate other peers’ certificates ...