Docker部署FastAPI连接SQL Server 2008遇SSL旧算法不兼容错误

问题根源 #

SQL Server 2008仅支持老旧的SSL/TLS签名算法（如SHA1），而你使用的python:3.12.4-slim镜像基于Debian 12（Bookworm），其中OpenSSL 3.0默认禁用了这类Legacy算法。即便连接字符串设置了Encrypt=no，握手阶段仍会因算法不匹配触发报错。本地环境因系统OpenSSL配置或版本未限制这些算法，所以能正常运行。

解决方案 #

方案1：调整数据库连接字符串参数

移除冲突的Windows域认证参数，添加证书信任配置，确保Encrypt=no参数生效。修改后的引擎初始化代码：

def mssql_engine(user='sa', password='password', host='xxx.xxx.x.xxx', db='dbname', driver='ODBC Driver 17 for SQL Server'):
    engine = create_engine(f"mssql+pyodbc://{user}:{password}@{host}/{db}?driver={driver}&Encrypt=no&TrustServerCertificate=yes")
    return engine

说明：Trusted_Connection=yes是Windows域认证参数，与你使用的SQL账号（sa）冲突，需移除；TrustServerCertificate=yes会跳过证书验证，避免旧证书算法引发的错误。

方案2：修改Docker容器的OpenSSL配置

若方案1无效，在Dockerfile中添加配置，让OpenSSL启用旧签名算法：

FROM python:3.12.4-slim

RUN apt-get update && \
    apt-get install -y curl gnupg2 apt-transport-https unixodbc-dev && \
    curl -sSL https://packages.microsoft.com/keys/microsoft.asc | apt-key add - && \
    echo "deb [arch=amd64] https://packages.microsoft.com/debian/10/prod buster main" > /etc/apt/sources.list.d/mssql-release.list && \
    apt-get update && \
    ACCEPT_EULA=Y apt-get install -y msodbcsql17

# 添加OpenSSL配置，允许旧签名算法和低版本TLS
RUN echo "openssl_conf = openssl_init" > /etc/ssl/openssl.cnf && \
    echo "[openssl_init]" >> /etc/ssl/openssl.cnf && \
    echo "ssl_conf = ssl_sect" >> /etc/ssl/openssl.cnf && \
    echo "[ssl_sect]" >> /etc/ssl/openssl.cnf && \
    echo "system_default = system_default_sect" >> /etc/ssl/openssl.cnf && \
    echo "[system_default_sect]" >> /etc/ssl/openssl.cnf && \
    echo "MinProtocol = TLSv1.0" >> /etc/ssl/openssl.cnf && \
    echo "CipherString = DEFAULT@SECLEVEL=1" >> /etc/ssl/openssl.cnf

COPY requirements.txt .
RUN pip install --no-cache-dir -r requirements.txt

COPY . .

EXPOSE 8000

CMD ["uvicorn", "main:app", "--host", "0.0.0.0", "--port", "8000"]

说明：SECLEVEL=1放宽安全级别，允许SHA1等旧算法；MinProtocol=TLSv1.0适配SQL Server 2008支持的最低TLS版本。

方案3：降级Python基础镜像

若前两种方案仍有问题，改用基于Debian 11（Bullseye）的Python镜像，其OpenSSL 1.1.1版本默认未严格限制旧算法：
修改Dockerfile开头：

FROM python:3.9-slim

后续依赖安装步骤保持不变即可。

验证步骤 #

1. 重新构建镜像：docker build -t fastapi-mssql .
2. 运行容器：docker run -p 8000:8000 fastapi-mssql
3. 测试数据库连接，确认错误消失。

内容的提问来源于stack exchange，提问作者Julian Toujas