Python中Trino的verify=False在concurrent.futures环境下失效问题

问题描述 #

• 单独运行Trino查询脚本时，设置verify=False可正常跳过SSL证书验证
• 改用Python的concurrent.futures线程/进程池运行时，抛出SSL证书验证失败异常
• 已确认conn._http_session.verify和cur._connection._http_session.verify均被设为False，直接执行脚本无问题

疑问 #

Python的SSL实现是否存在其他控制验证启用的因素，比如环境变量、Kerberos等？

1. 线程/进程内连接初始化问题 #

Trino Python客户端的HTTP Session在主线程初始化后，子线程/进程复用可能导致SSL配置未正确继承。解决方案：

• 不在主线程提前创建Trino连接，每个线程/进程内部单独创建连接并明确设置verify=False
• 示例代码：

from concurrent.futures import ThreadPoolExecutor
import trino

def run_query():
    # 在线程内独立创建连接
    conn = trino.dbapi.connect(
        host='your-trino-host',
        port=443,
        http_scheme='https',
        verify=False,
        # 其他必要参数
    )
    cur = conn.cursor()
    cur.execute("SELECT * FROM your_table LIMIT 10")
    result = cur.fetchall()
    cur.close()
    conn.close()
    return result

if __name__ == "__main__":
    with ThreadPoolExecutor(max_workers=5) as executor:
        results = list(executor.map(run_query))

2. 全局环境变量强制SSL验证 #

部分环境变量会覆盖verify=False的设置，需检查并临时取消：

• REQUESTS_CA_BUNDLE：指定全局CA证书路径
• SSL_CERT_FILE/SSL_CERT_DIR：系统级SSL证书配置
• 处理方式：

import os

def run_query():
    # 临时移除全局SSL验证相关环境变量
    for env_var in ['REQUESTS_CA_BUNDLE', 'SSL_CERT_FILE', 'SSL_CERT_DIR']:
        os.environ.pop(env_var, None)
    # 后续创建Trino连接...

3. Kerberos认证的间接影响 #

若Trino启用Kerberos，其客户端库可能强制启用SSL验证，即使设置了verify=False：

• 检查krb5.conf等Kerberos配置文件，确认是否有SSL强制验证的配置
• 若无需Kerberos认证，在连接时明确禁用相关逻辑

4. Python SSL模块全局状态冲突 #

Python的ssl模块存在全局状态，线程/进程继承后可能无法正确覆盖验证设置：

• 可在每个线程/进程内手动设置全局未验证上下文（仅建议测试环境使用）：

import ssl

def run_query():
    ssl._create_default_https_context = ssl._create_unverified_context
    # 后续创建Trino连接...

内容的提问来源于stack exchange，提问作者Levithan6785