如何用Python模拟openssl s_client证书链验证功能？

方法一：使用cryptography库（推荐） #

cryptography是Python生态中现代且文档完善的加密库，无需依赖系统OpenSSL命令，跨平台性更好。

from cryptography.hazmat.primitives import serialization
from cryptography.x509 import load_pem_x509_certificate
import socket
import ssl

def verify_certificate_chain(ca_cert_path, server_host, port):
    # 加载CA证书，加载失败直接返回False
    try:
        with open(ca_cert_path, "rb") as f:
            load_pem_x509_certificate(f.read())
    except Exception:
        return False

    # 配置SSL上下文，仅信任指定CA并启用严格验证
    context = ssl.create_default_context()
    context.verify_mode = ssl.CERT_REQUIRED
    context.load_verify_locations(ca_cert_path)
    context.check_hostname = True  # 匹配原命令的-strict主机名验证逻辑

    # 连接服务器并完成证书链验证
    try:
        with socket.create_connection((server_host, port)) as sock:
            with context.wrap_socket(sock, server_hostname=server_host):
                return True
    except Exception:
        # 任何错误（证书链无效、CA文件错误、连接失败等）均返回False
        return False

使用示例：

is_valid = verify_certificate_chain("CA_file.crt", "server.name", 4443)
print(is_valid)  # 验证成功返回True，失败返回False

方法二：直接调用OpenSSL命令（逻辑完全匹配原命令） #

如果系统已安装OpenSSL，可直接复用原命令逻辑，通过返回码判断结果：

import subprocess

def verify_with_openssl(ca_cert_path, server_host, port):
    cmd = [
        "openssl", "s_client",
        "-verify_return_error",
        "-quiet",
        "-strict",
        "-verifyCAfile", ca_cert_path,
        f"{server_host}:{port}"
    ]
    try:
        # 执行命令，忽略输出，仅检查返回码
        subprocess.run(cmd, stdout=subprocess.DEVNULL, stderr=subprocess.DEVNULL, check=True)
        return True
    except subprocess.CalledProcessError:
        return False

使用示例：

is_valid = verify_with_openssl("CA_file.crt", "server.name", 4443)
print(is_valid)

说明 #

• 两种方法均严格遵循需求：验证成功返回True，任何异常场景（CA文件无效、服务器证书链错误、连接失败等）均返回False。
• 方法一纯Python实现，无需外部依赖；方法二完全对齐原OpenSSL命令的行为逻辑。

内容的提问来源于stack exchange，提问作者pepoluan