Python Requests库发送HTTPS请求的安全性及相关配置问题咨询

1. HTTPS请求的通信安全性判定 #

只要你没有主动关闭Requests的证书校验机制，HTTPS传输过程的所有负载都是加密的，中间第三方无法窃听、篡改传输内容，但不代表全链路绝对安全：

• 若本地根证书信任列表被篡改，可能遭遇中间人攻击，导致加密传输内容被破解
• 若你的虚拟机本身已被入侵，请求发送前、响应接收后的明文数据存在被窃取的风险，和传输层无关
• 需确认请求的URL拼写完全正确，避免误请求到伪造的钓鱼接口泄露数据

2. cacert.pem文件的更新规则 #

你看到的cacert.pem是Requests依赖的certifi库提供的公有根证书信任列表，正常不需要手动修改：

• 如果你调用的API使用公有CA签发的证书，只要保持certifi库为最新稳定版本即可，文件会随库更新自动同步最新的根证书列表
• 如果你调用的是使用自签名证书的内部接口，才需要将自签名证书的公钥追加到该文件中，或是在请求时通过verify=/path/to/self-sign-cert.pem参数单独指定证书路径
• 禁止随意删除、修改文件的默认内容，否则会导致所有常规HTTPS请求的证书校验失败

3. 额外的通信安全配置要求 #

仅使用HTTPS URL不足以完全保障通信安全，你还需要完成以下配置：

• 永远不要添加verify=False参数关闭证书校验，该操作会直接跳过服务端证书身份核验，完全失去HTTPS的安全防护能力
• 定期更新requests、certifi相关依赖库到最新稳定版本，避免旧版本的安全漏洞被利用
• 敏感鉴权信息（如API密钥、Token）不要硬编码在代码中，建议存储在虚拟机环境变量或Azure密钥保管库中读取
• 可在Azure API Management侧配置接口IP白名单，仅开放你的虚拟机出口IP的调用权限，减少恶意请求风险
• 开启Azure API Management的请求日志审计，定期核对请求记录，及时发现异常调用行为

内容的提问来源于stack exchange，提问作者adan11