使用CI上传Python包至GitLab私有仓库时Twine SSL验证失败

Twine SSL证书验证失败问题 #

可能原因及解决方向 #

• 证书链不完整：curl依赖系统默认证书池（可能已包含中间证书），但Twine通过--cert指定的单证书可能缺少中间链。解决：将完整的证书链（根证书+中间证书）合并到一个PEM文件中，再指定给Twine。
• 证书读取权限或路径问题：确保CI runner用户对/usr/local/share/ca-certificates/ca.crt有读取权限，或改用全局环境变量指定证书：

  export REQUESTS_CA_BUNDLE=/usr/local/share/ca-certificates/ca.crt
  twine upload --repository gitlab dist/* --verbose
  

• 证书格式错误：用openssl验证证书格式是否为PEM：

  openssl x509 -in /usr/local/share/ca-certificates/ca.crt -text -noout
  

  若报错，将证书转换为PEM格式后再尝试。

Poetry提示服务器不可达问题 #

可能原因及解决方向 #

• URL配置错误：先打印并验证生成的仓库URL：

  echo "PyPI仓库URL: ${CI_API_V4_URL}/projects/${CI_PROJECT_ID}/packages/pypi"
  

  确认URL无多余斜杠、域名正确，且能通过curl访问。
• 证书配置未生效：Poetry的证书配置可能未正确加载，改用全局环境变量强制指定证书：

  export REQUESTS_CA_BUNDLE=/usr/local/share/ca-certificates/ca.crt
  poetry publish --repository gitlab --username gitlab-ci-token --password $CI_JOB_TOKEN
  

• 版本兼容性问题：旧版Poetry对私有仓库的SSL处理有bug，升级到最新版后重试：

  poetry self update
  

通用排查步骤 #

1. 用Python requests模拟请求：直接测试证书验证逻辑，定位是否为工具本身的问题：

   # 保存为test_ssl.py
   import requests
   url = "${CI_API_V4_URL}/projects/${CI_PROJECT_ID}/packages/pypi"
   try:
       response = requests.get(url, verify="/usr/local/share/ca-certificates/ca.crt")
       print(f"请求状态码: {response.status_code}")
   except Exception as e:
       print(f"错误信息: {e}")
   

   在CI中执行：python test_ssl.py
2. 检查CI权限：确认项目的CI/CD权限中，已开启write_package_registry权限，确保CI_JOB_TOKEN有上传包的权限。
3. 排查网络代理：检查CI环境是否存在代理变量，确认Twine/Poetry是否使用了正确的代理配置：

   echo "HTTP_PROXY: $HTTP_PROXY"
   echo "HTTPS_PROXY: $HTTPS_PROXY"
   

内容的提问来源于stack exchange，提问作者Alexander Lyapin