能否使用SQLAlchemy的create_engine通过环境变量传递证书字符串？

直接通过create_engine的sslrootcert参数传入证书字符串不可行——这个参数本质是将文件路径传递给底层数据库驱动，而绝大多数驱动的对应参数仅支持文件路径，不接受原始证书字符串。但可以通过connect_args参数绕开这个限制，结合驱动的SSL API实现从环境变量读取证书字符串直接连接，以下是主流数据库的实现示例：

PostgreSQL（psycopg2驱动） #

利用Python标准库的ssl模块，用证书字符串构建SSL上下文，再通过connect_args传入：

import os
import ssl
from sqlalchemy import create_engine

# 从环境变量读取证书字符串
root_cert_str = os.getenv("DB_SSL_ROOT_CERT")

# 基于证书字符串创建SSL上下文
ssl_ctx = ssl.create_default_context(cafile=None)
ssl_ctx.load_verify_locations(cadata=root_cert_str)

# 初始化engine，通过connect_args传入SSL上下文
engine = create_engine(
    "postgresql+psycopg2://<user>:<password>@<host>:<port>/<dbname>",
    connect_args={"ssl_context": ssl_ctx}
)

MySQL（mysql-connector-python驱动） #

该驱动支持直接在ssl参数中传入证书字符串：

import os
from sqlalchemy import create_engine

root_cert_str = os.getenv("DB_SSL_ROOT_CERT")

engine = create_engine(
    "mysql+mysqlconnector://<user>:<password>@<host>:<port>/<dbname>",
    connect_args={
        "ssl": {
            "ca": root_cert_str
        }
    }
)

核心逻辑说明 #

1. 放弃使用create_engine的sslrootcert参数，因为它仅映射驱动的文件路径参数；
2. 查看你所用数据库驱动的官方文档，确认其支持的SSL配置方式——多数驱动要么接受预构建的ssl.SSLContext对象，要么支持直接传入证书字符串；
3. 通过create_engine的connect_args参数，将构建好的SSL配置传递给底层驱动。

内容的提问来源于stack exchange，提问作者doublethink13