Python部分库遇SSL证书验证错误，请求排查VPN/库/Docker问题

问题场景 #

我在公司VPN环境下，尝试用Python应用发送HTTP请求时遇到SSL证书验证失败的问题。为排查问题，搭建了测试场景：向https://example.com发送GET请求，不同工具/库在Docker容器内外的表现如下：

出现的SSL证书错误示例：

httpx.ConnectError: [SSL: CERTIFICATE_VERIFY_FAILED] certificate verify failed: unable to get local issuer certificate (_ssl.c:997)

关闭VPN后，所有请求会触发代理相关错误：

requests.exceptions.ProxyError: HTTPSConnectionPool(host='example.com', port=443): Max retries exceeded with url: / (Caused by ProxyError('Unable to connect to proxy', NameResolutionError("<urllib3.connection.HTTPSConnection object at 0x105bb03a0>: Failed to resolve <company_proxy_url_here> ([Errno 8] nodename nor servname provided, or not known)")))

想请教：这个问题是VPN、Python库、Docker的单独影响，还是三者组合导致的？

问题根源分析 #

这个问题是VPN代理的证书拦截 + Python库的证书配置逻辑差异共同导致的，Docker会放大这个问题：

• VPN的核心作用：公司VPN通常会做HTTPS流量拦截（中间人代理），用自签名的根证书替换目标网站的证书以实现流量监控。客户端必须信任该根证书，否则会触发验证失败。
• 不同工具的证书处理差异：cURL和Postman默认读取系统级证书存储，而VPN会自动将根证书安装到这里，所以能正常验证；urllib3在容器外正常工作，大概率是版本/配置兼容系统证书存储，或你手动指定过证书路径；requests和httpx虽依赖urllib3，但默认证书加载逻辑更严格，未正确继承系统证书配置。
• Docker的影响：容器默认隔离宿主机系统环境，不会共享系统证书存储，所以任何Python库在容器内都找不到VPN根证书，必然触发验证失败。

解决方向 #

• 容器内配置证书：将VPN根证书复制到容器，通过环境变量或代码指定证书路径：

  # Dockerfile中添加证书配置
  COPY ./vpn-root-cert.pem /usr/local/share/ca-certificates/
  RUN update-ca-certificates
  ENV REQUESTS_CA_BUNDLE=/usr/local/share/ca-certificates/vpn-root-cert.pem
  ENV SSL_CERT_FILE=/usr/local/share/ca-certificates/vpn-root-cert.pem
  

• 统一Python库的证书配置：容器外给requests/httpx手动指定VPN根证书路径，或设置REQUESTS_CA_BUNDLE环境变量指向系统中的VPN证书。
• 检查代理配置：确保Python库能正确读取VPN代理设置（如HTTP_PROXY/HTTPS_PROXY环境变量），避免关闭VPN时的代理解析错误。

内容的提问来源于stack exchange，提问作者kamagitheboilerman