Hyperledger Fabric SSL自签名证书验证失败问题求助

核心问题定位 #

报错SSL: CERTIFICATE_VERIFY_FAILED : certificate verify failed: self-signed certificate说明Python SDK在与Fabric节点（peer/orderer）建立SSL连接时，无法验证对方证书合法性——要么证书是未被信任的自签名证书，要么SDK未正确加载用于验证的根CA证书，或者节点配置的证书链存在问题。

分步排查与修复 #

1. 验证Fabric节点证书链有效性 #

• 使用openssl工具检查peer/orderer的TLS证书是否由对应CA签发：

  # 示例：验证Org1 Peer的TLS证书是否被Org1 CA根证书信任
  openssl verify -CAfile ./crypto-config/peerOrganizations/org1.example.com/ca/ca.org1.example.com-cert.pem ./crypto-config/peerOrganizations/org1.example.com/peers/peer0.org1.example.com/tls/server.crt
  

  • 输出OK则证书链有效；若报错self signed certificate，需重新生成由CA签发的节点证书。

2. 修正Docker容器TLS配置 #

CA容器配置检查

确保CA容器启动时正确启用TLS并挂载证书目录：

# 示例Org1 CA Docker配置片段
services:
  ca.org1.example.com:
    image: hyperledger/fabric-ca:latest
    environment:
      - FABRIC_CA_SERVER_TLS_ENABLED=true
      - FABRIC_CA_SERVER_TLS_CERTFILE=/etc/hyperledger/fabric-ca-server-config/ca.org1.example.com-cert.pem
      - FABRIC_CA_SERVER_TLS_KEYFILE=/etc/hyperledger/fabric-ca-server-config/CA1_PRIVATE_KEY
    volumes:
      - ./crypto-config/peerOrganizations/org1.example.com/ca/:/etc/hyperledger/fabric-ca-server-config

• 确认FABRIC_CA_SERVER_TLS_CERTFILE指向CA根证书，FABRIC_CA_SERVER_TLS_KEYFILE指向CA私钥。

Peer/Orderer容器配置检查

重点验证TLS根证书路径是否正确（必须指向签发节点证书的CA根证书，而非节点自身证书）：

# 示例Peer0 Docker配置片段
services:
  peer0.org1.example.com:
    environment:
      - CORE_PEER_TLS_ENABLED=true
      - CORE_PEER_TLS_CERT_FILE=/etc/hyperledger/fabric/tls/server.crt
      - CORE_PEER_TLS_KEY_FILE=/etc/hyperledger/fabric/tls/server.key
      - CORE_PEER_TLS_ROOTCERT_FILE=/etc/hyperledger/fabric/tls/ca.crt
    volumes:
      - ./crypto-config/peerOrganizations/org1.example.com/peers/peer0.org1.example.com/tls/:/etc/hyperledger/fabric/tls

• 检查CORE_PEER_TLS_ROOTCERT_FILE对应的ca.crt是否为Org1 CA的根证书。

3. 调整Python SDK（hyperledger-fabric-py）配置 #

SDK必须明确加载信任根CA证书，不能依赖系统默认信任池：

from hfc.fabric import Client

# 初始化客户端并加载网络配置
cli = Client(net_profile="network.json")

# 全局设置信任根CA证书（适用于同组织所有节点）
cli.set_tls_ca_certs(path="./crypto-config/peerOrganizations/org1.example.com/ca/ca.org1.example.com-cert.pem")

# 或针对单个peer/orderer单独指定证书路径
peer = cli.get_peer(
    "peer0.org1.example.com",
    tls_ca_certs_path="./crypto-config/peerOrganizations/org1.example.com/ca/ca.org1.example.com-cert.pem"
)

# 连接节点时确保启用TLS验证
cli.connect(peer)

• 测试环境临时排查可添加verify=False跳过验证（生产环境禁止使用）：

  cli.connect(peer, verify=False)
  

4. 检查证书路径与权限 #

• 确保SDK运行用户拥有证书文件的读取权限，避免因权限不足导致证书加载失败。
• 确认证书路径正确，可通过代码验证：

  import os
  cert_path = "./crypto-config/peerOrganizations/org1.example.com/ca/ca.org1.example.com-cert.pem"
  print(os.path.exists(cert_path))  # 应输出True
  

5. 处理自签名证书场景 #

若测试环境使用自签名证书，需将该证书添加到SDK的信任列表：

import ssl
from hfc.fabric import Client

# 创建自定义SSL上下文，加载自签名证书
context = ssl.create_default_context(cafile="./self-signed-cert.pem")

cli = Client(net_profile="network.json")
peer = cli.get_peer("peer0.org1.example.com")
cli.connect(peer, ssl_context=context)

内容的提问来源于stack exchange，提问作者AlexCav