每个人都可以，
拥有SSL证书

在Python开发中，ssl.SSLCertVerificationError: [SSL: CERTIFICATE_VERIFY_FAILED]是常见的网络请求错误，通常由系统CA证书缺失、证书链不完整或时间同步问题导致。本文系统梳理了6种解决方案，并提供生产环境安全建议。

系统级解决方案

更新系统CA证书

不同操作系统需采用不同方法更新证书库：

使用certifi包

通过certifi包获取Mozilla的CA证书库：

import ssl
import certifi
import os

# 设置环境变量
os.environ['SSL_CERT_FILE'] = certifi.where()
os.environ['REQUESTS_CA_BUNDLE'] = certifi.where()

# 覆盖默认SSL上下文
try:
    ssl._create_default_https_context = lambda: ssl.create_default_context(
        cafile=certifi.where()
    )
    print("已成功配置SSL context使用certifi。")
except Exception as e:
    print(f"使用certifi配置SSL context时出错: {e}")

代码级解决方案

自定义SSL上下文

精细控制证书验证参数：

import ssl
import urllib.request

context = ssl.create_default_context(
    cafile="/path/to/cacert.pem"  # 替换为实际路径
)
context.check_hostname = True
context.verify_mode = ssl.CERT_REQUIRED

try:
    with urllib.request.urlopen(
        "https://example.com", 
        context=context
    ) as response:
        print("证书验证成功。")
except ssl.SSLError as e:
    print(f"证书验证失败: {e}")

临时禁用验证（不推荐）

仅限测试环境使用：

import ssl

try:
    _create_unverified_https_context = ssl._create_unverified_context
except AttributeError:
    pass
else:
    ssl._create_default_https_context = _create_unverified_https_context
print("警告：已全局禁用SSL证书验证。这是不安全的。")

环境检查方案

系统时间验证

证书有效期依赖系统时间，可通过以下命令同步：

# Linux系统时间同步
sudo ntpdate pool.ntp.org

# Windows系统
w32tm /resync

证书链验证

使用OpenSSL检查证书完整性：

openssl s_client -connect example.com:443 -showcerts

正常输出应包含完整的证书链（从终端实体证书到根证书）。

常见原因与最佳实践

故障原因矩阵

安全最佳实践

1. 生产环境：优先使用certifi或系统CA证书，避免禁用验证
2. 开发环境：自签名证书需明确指定CA文件路径
3. CI/CD流程：在构建阶段自动检查证书有效性