已提供证书文件仍遭遇SSLCertVerificationError问题求助

核心原因 #

你导出的bob.pem仅包含目标服务器的实体证书，但SSL证书验证需要完整的信任链（服务器证书 + 中间签发证书 + 根证书）。requests在验证时，无法从单张证书追溯到系统信任的根证书，因此抛出unable to get local issuer certificate错误。

从你提供的证书内容来看，该证书由DigiCert Global G2 TLS RSA SHA256 2020 CA1签发，而你并未将这个中间证书及其上级根证书包含到证书文件中。

解决步骤 #

1. 导出完整证书链
   在Chrome中访问目标网站：

   • 点击地址栏左侧的锁图标 → 选择「证书」
   • 切换到「证书路径」标签，查看多层证书（从服务器证书到根证书）
   • 选中每一层证书，依次点击「查看证书」→「详细信息」→「复制到文件」，选择Base64编码的X.509(.CER)格式导出，保存为不同的PEM文件（如server.pem、intermediate.pem、root.pem）

2. 合并证书到单个文件
   将所有导出的证书内容按顺序合并到bob.pem中：

   • 先粘贴服务器证书内容
   • 接着粘贴中间证书内容
   • 最后粘贴根证书内容
     最终文件格式示例：

   -----BEGIN CERTIFICATE-----
   [服务器证书内容]
   -----END CERTIFICATE-----
   -----BEGIN CERTIFICATE-----
   [中间证书内容]
   -----END CERTIFICATE-----
   -----BEGIN CERTIFICATE-----
   [根证书内容]
   -----END CERTIFICATE-----
   

3. 重新测试请求
   使用合并后的bob.pem作为verify参数的值运行代码，此时requests可完整验证证书链，应能成功建立连接。

补充说明 #

• 生产环境禁止使用verify=False，这会跳过SSL验证，存在中间人攻击风险。
• 如果系统已信任该证书链的根证书，也可尝试将verify设为True（不指定证书文件），让requests自动调用系统信任库完成验证；但若是私有CA或特殊证书链，仍需手动提供完整证书链。

内容的提问来源于stack exchange，提问作者Identicon