Python替换ssl.PROTOCOL_TLS_CLIENT发邮件遇证书验证失败求助

核心原因：两种SSL协议常量的验证行为差异 #

ssl.PROTOCOL_TLSv1_2 指定旧版TLS 1.2协议，早期Python中用它创建的SSL上下文默认不会强制严格验证服务器证书，所以原代码能正常运行但会触发弃用警告。而ssl.PROTOCOL_TLS_CLIENT 是专为客户端设计的安全上下文，默认强制验证服务器证书合法性，当你的运行环境找不到能验证中继服务器证书的根CA时，就会抛出证书验证失败的错误。

具体解决步骤 #

1. 优先使用系统默认根证书 #

Python的ssl模块默认会加载系统级的根CA证书，无需手动指定.pem文件，直接用默认客户端上下文即可：

import ssl
import smtplib
from email.message import EmailMessage

# 创建符合安全标准的客户端SSL上下文，自动加载系统默认根CA
context = ssl.create_default_context()
# 若中继仅支持旧版TLS（不推荐，仅兼容用），可限制协议版本
# context.options |= ssl.OP_NO_TLSv1 | ssl.OP_NO_TLSv1_1

# 连接中继并发送邮件
with smtplib.SMTP('你的中继地址', 587) as server:
    server.starttls(context=context)
    server.login('你的账号', '你的密码')
    msg = EmailMessage()
    msg.set_content('测试邮件内容')
    msg['Subject'] = '测试邮件'
    msg['From'] = '发件人@example.com'
    msg['To'] = '收件人@example.com'
    server.send_message(msg)

2. 若系统默认证书无法验证（中继用自签名/内部CA证书） #

如果你的邮件中继用的是自签名证书或内部CA签发的证书，才需要手动指定CA证书文件：

• 不要自行创建.pem文件，需从中继管理员处获取该服务器证书的根CA证书（不是服务器公钥）
• 无需将你的公钥部署到中继，只需要在Python运行环境配置信任对应的根CA
• 配置代码示例：

context = ssl.create_default_context(cafile='/path/to/中继根CA证书.pem')

疑问解答 #

• 原代码无需.pem文件就能运行的原因：ssl.PROTOCOL_TLSv1_2 创建的上下文默认未开启严格证书验证，即使找不到根CA也会跳过验证（存在安全风险）。
• 能否自行创建.pem文件：不能自行创建用于验证的CA证书，必须使用中继服务器证书的签发CA证书，否则验证逻辑不成立。
• 是否需要部署公钥到中继：不需要，客户端只需信任中继的CA证书即可，中继服务器只需配置好自身的证书（含公钥）。
• 如何使用默认证书：直接调用ssl.create_default_context()，它会自动加载系统默认的根CA证书库（比如Windows证书存储、Linux的/etc/ssl/certs、macOS钥匙串）。

内容的提问来源于stack exchange，提问作者Manuel