Windows：Python SSL 证书验证失败

Question

我安装了 Anaconda，但在尝试通过 Jupyter Notebooks 进行 API 调用时遇到了 SSL 问题：

import requests
import certifi

r = requests.get('https://github.com/')
print(r)

这首先产生了 SSL 连接错误。经过广泛的搜索和我们 IT 部门的帮助，我可以解决这个问题。这里的解决方案是将公司根证书添加到证书存储中。

不幸的是，现在对于其他请求，我仍然遇到同样的问题。使用 google2pandas 包调用 Google Analytics API 的示例代码：

from google2pandas import *

query = {
    'reportRequests': [{
        'viewId' : 37616054,

        'dateRanges': [{
            'startDate' : '8daysAgo',
            'endDate'   : 'today'}],

        'dimensions' : [
            {'name' : 'ga:date'}, 
            {'name' : 'ga:pagePath'},
            {'name' : 'ga:browser'}],

        'metrics'   : [
            {'expression' : 'ga:pageviews'}],

        'dimensionFilterClauses' : [{
            'operator' : 'AND',
            'filters'  : [
                {'dimensionName' : 'ga:browser',
                 'operator' : 'REGEXP',
                 'expressions' : ['Firefox']},

                {'dimensionName' : 'ga:pagePath',
                 'operator' : 'REGEXP',
                 'expressions' : ['iPhone']}]
        }]
    }]
}

# Assume we have placed our client_secrets_v4.json file in the current
# working directory.

conn = GoogleAnalyticsQueryV4(secrets='Analytics.json')
df = conn.execute_query(query)

在这里，我仍然遇到之前在简单调用中遇到的 SSL 错误：

C:\ProgramData\Anaconda3\lib\ssl.py 在 _create(cls, sock, server_side, do_handshake_on_connect、suppress_ragged_eofs、server_hostname、 上下文，会话） 第848章 第849章 非阻塞套接字") --> 850 self.do_handshake() 851 除了（OSError，ValueError）： 第852章

C:\ProgramData\Anaconda3\lib\ssl.py in do_handshake(self, block)
1106 如果超时 == 0.0 并且阻塞：1107
self.settimeout（无） -> 1108 self._sslobj.do_handshake() 1109 最后：1110 self.settimeout(timeout)

SSLCertVerificationError: [SSL: CERTIFICATE_VERIFY_FAILED] 证书 验证失败：无法获取本地颁发者证书 (_ssl.c:1045)

我相信还有另一个库正在使用，它不依赖于证书？但是我不知道在哪里以及如何添加我的根证书，所以所有 iPython 请求都可以工作。

感谢任何想法。

Answer 1

您可以对ssl.SSLSocket 的__init__ 方法进行猴子补丁，使其始终通过强制cert_reqs=CERT_NONE 参数忽略SSL 证书验证。

将此添加到脚本的开头：

import ssl
orig_sslsocket_init = ssl.SSLSocket.__init__
ssl.SSLSocket.__init__ = lambda *args, cert_reqs=ssl.CERT_NONE, **kwargs: orig_sslsocket_init(*args, cert_reqs=ssl.CERT_NONE, **kwargs)

Answer 2

我已经取得了进步。 httplib2 是导致问题的包。它有自己的 cacerts.txt，我现在也在其中添加了根证书。

干杯，

安德烈亚斯

Answer 3

我花了几天时间想办法解决这个问题。最后，我将我公司的 CA 证书添加到请求库使用的配置文件中。您可以通过以下方式检查此文件的路径：

import requests as r
print(r.certs.where())

将python使用的cacert.pem的路径打印出来，编辑并在底部附加CA证书。

Answer 4

由于安全原因，上述解决方案不是很合适。这个问题的一个更好的解决方案是：

• 转到https://letsencrypt.org/certificates/ 并下载“ISRG Root X1”、“ISRG Root X2”、“Let's Encrypt R3”（.der 文件）
• 在本地受信任的根证书颁发机构中导入 3 个证书，请按照此指南进行操作 https://www.sonicwall.com/support/knowledge-base/how-can-i-import-certificates-into-the-ms-windows-local-machine-certificate-store/170504615105398/
• 您可能需要重新启动系统

Answer 5

一种可能的解决方案是指示 Python 使用您的 Windows 证书存储而不是 certifi 包中的内置存储。您可以通过安装 python-certifi-win32 来做到这一点：

pip install python-certifi-win32

Python 使用与浏览器相同的证书。