如何快速检查生产环境Python服务的TLS版本并纳入构建流程

一、快速验证当前环境TLS支持情况 #

• 直接运行Python脚本即时检查：

  import ssl
  
  def get_protocol_name(protocol):
      if protocol == ssl.PROTOCOL_TLSv1_2:
          return "1.2"
      elif protocol == ssl.PROTOCOL_TLSv1_3:
          return "1.3"
      return "未知版本"
  
  print("当前环境支持的TLS版本:")
  for protocol in [ssl.PROTOCOL_TLSv1_2, ssl.PROTOCOL_TLSv1_3]:
      try:
          ssl.SSLContext(protocol)
          print(f"✅ TLS {get_protocol_name(protocol)} 支持")
      except AttributeError:
          print(f"❌ TLS {get_protocol_name(protocol)} 不支持")
  

  无需构建工件，直接在目标Python环境执行脚本就能得到结果。

• Python 3.6特殊注意：该版本默认支持TLS 1.2，但依赖底层OpenSSL版本（需≥1.0.1g），可通过以下命令检查：

  python -c "import ssl; print(ssl.OPENSSL_VERSION)"
  

  若OpenSSL版本不足，需升级OpenSSL或更换Python环境。

二、纳入构建工作流的强制校验方案 #

1. CI/CD前置检查步骤 #

• 将上述验证脚本保存为tls_check.py，在构建阶段添加执行命令：

  python tls_check.py || exit 1
  

  一旦检测到不支持TLS 1.2，直接终止构建流程。

2. 依赖包合规性锁定 #

• 针对常用HTTP库，明确要求最低版本：
  • requests ≥2.20.0（该版本起默认强制TLS 1.2）
  • urllib3 ≥1.24.2
    在requirements.txt中锁定版本，或用pip-audit扫描依赖漏洞：

  pip install pip-audit
  pip-audit -r requirements.txt
  

3. 代码层面强制TLS版本 #

• 显式配置SSL上下文，避免依赖默认设置：

  import requests
  from ssl import SSLContext, PROTOCOL_TLSv1_2
  
  # 强制使用TLS 1.2
  context = SSLContext(PROTOCOL_TLSv1_2)
  response = requests.get("https://aws-api-endpoint.example.com", ssl_context=context)
  

  或禁用旧版协议的更严谨写法：

  import ssl
  import requests
  from requests.adapters import HTTPAdapter
  from requests.packages.urllib3.poolmanager import PoolManager
  
  class TLS12Adapter(HTTPAdapter):
      def init_poolmanager(self, *args, **kwargs):
          context = ssl.create_default_context()
          # 禁用TLS 1.0和1.1
          context.options |= ssl.OP_NO_TLSv1 | ssl.OP_NO_TLSv1_1
          kwargs['ssl_context'] = context
          return super().init_poolmanager(*args, **kwargs)
  
  session = requests.Session()
  session.mount("https://", TLS12Adapter())
  

三、批量检查多服务的高效方法 #

• 编写shell脚本遍历所有服务目录，自动执行检查：

  #!/bin/bash
  # 假设所有服务放在./services目录下
  for service_dir in ./services/*; do
      echo "=== 检查服务: $(basename $service_dir) ==="
      cd "$service_dir"
      python ../tls_check.py
      echo "-------------------------"
      cd ../..
  done
  

  一键完成所有Python服务的TLS支持情况验证。

内容的提问来源于stack exchange，提问作者Deepak Tatyaji Ahire