Python服务端客户端证书验证失败：证书链含自签名证书

针对你遇到的ssl.SSLCertVerificationError: self-signed certificate in certificate chain错误，结合中间CA签发客户端证书、Python 3.10服务端验证的场景，可能的原因及排查方向如下：

1. 客户端未发送完整证书链 #

客户端证书由中间CA签发，SSL握手时客户端需要将客户端证书 + 中间CA证书一并传递给服务端。若你的client.crt仅包含客户端证书，未附加中间CA证书，服务端在验证时无法从客户端证书追溯到信任的根CA，会将中间CA判定为自签证书（即便服务端信任库持有中间CA，也无法确认客户端证书的签发链合法性）。

解决方式：

• 将中间CA证书追加到client.crt末尾（客户端证书在前，中间CA在后），确保文件包含完整证书链；
• 或在客户端加载证书时显式指定中间CA文件：

context = ssl.SSLContext(ssl.PROTOCOL_TLS_CLIENT)
context.verify_mode = ssl.CERT_REQUIRED
context.load_verify_locations(cafile='certs/generated/ca.crt')
# 通过chain参数指定中间CA证书
context.load_cert_chain(
    certfile="certs/generated/client.crt",
    keyfile="certs/generated/client.key",
    chain="certs/generated/intermediate.crt"
)

2. 服务端信任库证书格式/顺序异常 #

即便你确认服务端CA文件包含根CA和中间CA，若证书顺序错误（如根CA在前、中间CA在后）或证书格式不符合PEM标准（存在多余字符、换行错误），会导致OpenSSL无法正确构建信任链。

验证方式：
用openssl命令手动验证客户端证书与服务端信任库的兼容性：

openssl verify -CAfile /path/to/server/ca_bundle.crt /path/to/client.crt

若命令报错，调整CA文件顺序（建议中间CA在前、根CA在后），确保所有证书为标准PEM格式且无损坏。

3. 中间CA证书基本约束配置错误 #

若中间CA证书的basicConstraints扩展未设置为CA:TRUE，或pathlen限制不允许签发下级证书（如设置pathlen:0），OpenSSL会拒绝将其视为合法CA证书，导致验证失败。

验证方式：
检查中间CA证书的扩展信息：

openssl x509 -text -noout -in intermediate.crt | grep -A 5 "Basic Constraints"

确保输出包含CA:TRUE，且Path Length Constraint（若存在）允许签发下级证书（如Path Length Constraint: none或大于0的值）。

4. Python SSL上下文默认配置冲突 #

使用ssl.create_default_context(purpose=ssl.Purpose.CLIENT_AUTH)会自动加载系统默认信任库，可能与你手动加载的CA证书产生冲突。尝试手动创建SSLContext，避免默认信任库干扰：

# 服务端修改后的代码
ssl_context = ssl.SSLContext(ssl.PROTOCOL_TLS_SERVER)
ssl_context.load_cert_chain(
    certfile=settings.CERTS_TLS_SERVER_CERT,
    keyfile=settings.CERTS_TLS_SERVER_KEY,
    password=settings.CERTS_TLS_SERVER_CERT_PASSWORD
)
ssl_context.load_verify_locations(cafile=settings.CERTS_CA_CERT)
ssl_context.verify_mode = ssl.CERT_REQUIRED
ssl_context.verify_flags = ssl.VERIFY_X509_PARTIAL_CHAIN

内容的提问来源于stack exchange，提问作者midhuntp