Python 在没有咨询系统 CA 包的情况下抛出 SSL 证书验证错误？

Question

对于两个基本相同的系统(都运行 Fedora 25，都安装了相似的软件包版本)，一个系统因 SSL 证书验证错误而失败，而另一个则没有。也就是说，如果我运行:

import requests
r = requests.get('https://insidehost.corp.example.com')

一个系统运行正常，而另一个系统失败:

requests.exceptions.SSLError: ("bad handshake: Error([('SSL routines', 'ssl3_get_server_certificate', 'certificate verify failed')],)",)

起初我认为我只是缺少必要的 CA 证书，但是在 strace 下运行 python 显示在失败的系统上，python 从不尝试打开 ca 包。也就是说，在运行的系统上:

strace -e trace=open,stat python testscript.py |& grep /etc/pki

仅产量:

open("/etc/pki/tls/legacy-settings", O_RDONLY) = -1 ENOENT (No such file or directory)
stat("/etc/pki/tls/certs/ca-bundle.crt", {st_mode=S_IFREG|0444, st_size=257079, ...}) = 0
open("/etc/pki/tls/certs/ca-bundle.crt", O_RDONLY) = 4

但是在失败的系统上产生:

open("/etc/pki/tls/legacy-settings", O_RDONLY) = -1 ENOENT (No such file or directory)

此外，在发生故障的系统上使用 python3 运行相同的测试脚本...有效!

在这两种情况下，python 都是来自 python-2.7.13-1.fc25.x86_64 的 /usr/bin/python。两个系统都没有设置任何 *_CA_BUNDLE 环境变量。

Answer 1

经过一些额外的调查，我已经弄清楚了，我想我会在这里发布解决方案，因为它不一定很明显。

requests 模块包含它自己的证书包，如果找不到另一个要使用的证书包，它将退回到那个。它查找证书包的方式是这样的，在 requests/certs.py 中:

try:
    from certifi import where
except ImportError:
    def where():
        """Return the preferred certificate bundle."""
        # vendored bundle inside Requests
        return os.path.join(os.path.dirname(__file__), 'cacert.pem')

您可以通过运行来查看此操作的结果:

$ python -m requests.certs
/etc/pki/tls/certs/ca-bundle.crt

从上面的代码可以看出，requests 使用certifi 模块来定位合适的包。在发生故障的系统上，certifi 模块是通过 pip 安装的，而不是使用系统包，这意味着它缺少适当的配置。

解决方案是 yum install python2-certifi。