Python FTP_TLS对接大型机：本地正常Docker容器报错求助

核心原因 #

本地Python 3.9.7与Docker环境中Python 3.10的SSL/TLS默认配置差异是问题关键：

• Python 3.10起，ssl库默认安全级别提升至SECLEVEL=2，会拒绝部分大型机FTP服务器使用的弱加密套件
• 部分大型机FTP服务器不支持SNI（Server Name Indication），但Python 3.10的ssl上下文默认启用该特性，导致握手失败
• Docker镜像的OpenSSL版本与本地Windows环境存在差异，协议兼容性处理逻辑不同

解决方案 #

方案1：自定义SSL上下文，放宽安全级别并禁用SNI #

修改代码，手动配置适配老服务器的SSL上下文：

from ftplib import FTP_TLS
import ssl

# 创建自定义SSL上下文
ctx = ssl.create_default_context()
# 降低安全级别，兼容弱加密套件
ctx.set_ciphers('DEFAULT:@SECLEVEL=1')
# 禁用SNI，适配不支持该特性的大型机服务器
ctx.check_hostname = False
ctx.server_hostname = None

# 初始化FTP_TLS并使用自定义上下文
ftps = FTP_TLS(context=ctx)
ftps.connect(host, port)
ftps.login(user, passwd)

方案2：强制指定兼容的SSL协议版本 #

如果大型机仅支持特定旧版本TLS（如TLSv1.2），可明确指定协议：

from ftplib import FTP_TLS
import ssl

# 指定使用TLSv1.2协议
ctx = ssl.SSLContext(ssl.PROTOCOL_TLSv1_2)
# 放宽安全级别以兼容弱加密套件
ctx.set_ciphers('DEFAULT:@SECLEVEL=1')

ftps = FTP_TLS(context=ctx)
ftps.connect(host, port)
ftps.login(user, passwd)

方案3：手动指定CA证书路径 #

即使复制了cacert文件，Docker环境中Python可能无法自动识别路径，需手动加载：

from ftplib import FTP_TLS
import ssl

# 加载自定义CA证书
ctx = ssl.create_default_context(cafile='/path/to/your/cacert.pem')
ctx.set_ciphers('DEFAULT:@SECLEVEL=1')

ftps = FTP_TLS(context=ctx)
ftps.connect(host, port)
ftps.login(user, passwd)

额外排查步骤 #

1. 在Docker容器内执行openssl s_client -connect <host>:<port>，查看SSL握手是否成功，输出会显示服务器支持的协议版本和加密套件，可据此调整上下文配置
2. 对比本地Windows与Docker容器的OpenSSL版本差异，部分老版本OpenSSL可能存在协议兼容问题

内容的提问来源于stack exchange，提问作者Lakki