macOS升级后Python GRPC stub调用返回CERTIFICATE_VERIFY_FAILED如何解决

方案1：重装容器内CA根证书（推荐，适配生产环境） #

报错核心原因是容器内系统根证书目录为空，gRPC默认调用系统根证书验证服务端SSL证书，验证失败导致握手终止。根据你的Docker镜像使用的基础发行版，在容器内执行对应命令安装CA证书包即可：

• Debian/Ubuntu系镜像

apt update && apt install -y ca-certificates && update-ca-certificates

• CentOS/RHEL系镜像

yum install -y ca-certificates && update-ca-trust force-enable && update-ca-trust extract

• Alpine系镜像

apk add --no-cache ca-certificates && update-ca-certificates

执行完成后/etc/ssl/certs目录会自动生成系统信任的根证书软链，重新运行代码即可恢复正常。如果要永久避免这个问题，可以把上述命令加到你的Dockerfile构建步骤中，镜像打包时就预装CA证书。

方案2：手动传入自定义根证书 #

如果你的gRPC服务端使用的是自签名证书，不需要依赖系统根证书，可以直接把根证书内容传入gRPC凭据配置：

# 替换为你的根证书文件路径
with open("/path/to/your/root_ca.pem", "rb") as f:
    root_ca_content = f.read()
creds = grpc.ssl_channel_credentials(root_certificates=root_ca_content)
channel = grpc.secure_channel(f'{HOST}:{PORT}', credentials=creds)

方案3：临时跳过SSL证书验证（仅本地测试使用，禁止生产环境配置） #

如果只是本地开发测试，可以配置gRPC跳过证书验证步骤，直接建立连接：

creds = grpc.ssl_channel_credentials()
# 新增跳过证书验证的配置项
channel_options = [
    ("grpc.tls_skip_verify", 1)
]
channel = grpc.secure_channel(f'{HOST}:{PORT}', credentials=creds, options=channel_options)

内容的提问来源于stack exchange，提问作者mrc