RHEL6运行Python3.9报No module named '_ssl'，RHEL7正常如何排查

问题背景 #

同时搭载RHEL6、RHEL7的构建集群中部署Python 3.9版本后，RHEL7环境单元测试运行正常，RHEL6环境执行import ssl操作时触发异常，对应/usr/software/pkgs/Python-3.9.0/lib/python3.9/ssl.py第98行import _ssl # if we can’t import it, let the error propagate抛出错误：ModuleNotFoundError: No module named '_ssl'，初步排除Python安装包本身问题，故障与RHEL6系统环境相关。

_ssl是Python基于C实现的内置扩展模块，不属于纯Python代码模块，导入失败基本和编译阶段依赖缺失、运行阶段动态库链接失败两类原因相关，核心诱因来自RHEL6与RHEL7的基础库版本差，可按以下方向逐一排查：

• 第一步：核查编译阶段的OpenSSL依赖匹配情况
  Python 3.9编译要求OpenSSL最低版本为1.0.2，RHEL6官方源默认搭载的OpenSSL版本为1.0.1e，完全不满足版本要求。如果Python安装包是在RHEL7环境编译后直接同步到RHEL6，或者编译时没有手动指定符合版本要求的自定义OpenSSL路径，编译阶段会直接跳过_ssl模块的构建。可到Python源码编译目录查看config.log，搜索ssl相关检测记录，确认是否存在OpenSSL版本过低、头文件缺失的报错。
• 第二步：检查_ssl扩展文件是否存在、动态链接是否正常
  进入Python安装路径下的lib/python3.9/lib-dynload目录，执行ls | grep _ssl查看是否存在_ssl.cpython-39-x86_64-linux-gnu.so文件：
  • 若文件不存在，可确认是编译阶段依赖不满足导致模块未构建
  • 若文件存在，执行ldd _ssl.cpython-39-x86_64-linux-gnu.so检查动态链接依赖，查看是否有标记为not found的依赖项，重点排查libssl.so.1.1、libcrypto.so.1.1这类高版本OpenSSL库。RHEL6默认不携带这些高版本库，如果编译Python时依赖了自定义安装的高版本OpenSSL，但没有把对应库路径加入系统动态库搜索路径、也没在编译时指定rpath，就会导致模块加载失败，抛出模块不存在的错误。
• 第三步：验证高版本OpenSSL的运行时配置
  如果已经在RHEL6上手动编译安装了符合版本要求的OpenSSL，需要确认OpenSSL的lib目录已经加入/etc/ld.so.conf.d/下的自定义配置文件，且执行过ldconfig刷新动态库缓存。后续重新编译Python时，可在configure阶段增加--with-openssl=自定义OpenSSL安装绝对路径参数，强制编译时指定依赖路径，避免调用系统自带的低版本OpenSSL。
• 第四步：排除跨系统复制二进制包的兼容问题
  RHEL6的glibc版本为2.12，RHEL7的glibc版本为2.17，两个大版本系统的基础底层库存在明显差异，禁止直接把RHEL7上编译好的Python二进制安装包复制到RHEL6上运行，这类跨大版本复制的二进制程序大概率出现动态链接异常。正确做法是在RHEL6环境下提前部署好符合版本要求的OpenSSL依赖后，原地编译安装Python 3.9。

快速校验项：执行Python安装目录下的bin/python3.9 -c "import sys; print(sys.path)"，确认lib-dynload目录在Python的默认模块搜索路径中，排除路径配置错误导致的模块查找失败。

内容的提问来源于stack exchange，提问作者Sudhir S