每个人都可以，
拥有SSL证书

在开发或运维过程中，SSL证书验证失败（如certificate_verify_failed错误）是常见问题，通常由证书配置、系统时间或网络环境等因素引发。本文系统梳理了排查步骤和解决方案，帮助快速定位并解决问题。

证书有效性检查

过期或未生效

使用openssl命令检查证书有效期（需安装openssl）：

openssl s_client -connect example.com:443 -servername example.com 2>/dev/null | openssl x509 -noout -dates

• 证书过期：需重新申请并部署新证书。
• 系统时间错误：调整时间后重试（参考下文“系统时间检查”）。

域名不匹配

确保证书中的CN或SAN包含当前访问的域名：

openssl s_client -connect example.com:443 | openssl x509 -noout -text | grep "DNS:"

证书链完整性验证

缺失中间证书 浏览器或客户端可能无法自动补全证书链。解决方法：

1. 将服务器证书、中间证书和根证书按顺序合并为fullchain.pem文件。
2. 使用SSL Labs Test检查证书链是否完整。

系统时间检查

SSL验证依赖准确的系统时间。同步时间的方法如下：

Linux同步时间

# 使用ntpdate（需安装）
sudo ntpdate pool.ntp.org
# 或使用chrony
sudo chronyc makestep

CA证书库更新

操作系统证书库过时 更新系统的CA证书包：

客户端代码调试

Python示例

• 临时禁用证书验证（仅测试）：

  import requests
  requests.get("https://example.com", verify=False)  # 不推荐生产环境使用

• 指定自定义CA证书路径：

  requests.get("https://example.com", verify="/path/to/cert.pem")

cURL调试

# 查看详细握手过程
curl -vI https://example.com
# 指定CA证书
curl --cacert /path/to/cert.pem https://example.com

其他可能原因

总结步骤

1. 检查证书有效期和域名。
2. 确保证书链完整（合并中间证书）。
3. 同步系统时间。
4. 更新CA证书库。
5. 调试客户端代码（如指定verify参数）。
6. 排查网络环境（防火墙、代理）。