Python实现证书链验证器出现unable to get local issuer certificate报错如何解决

这个错误是OpenSSL未在你配置的信任库中找到待验证证书的签发者证书导致的，可按以下步骤排查修复：

• 修正X509StoreContext参数传递
  PyOpenSSL的X509StoreContext构造参数格式为X509StoreContext(信任库对象, 待验证终端证书, 中间证书列表)，多数报错是因为误把完整证书链直接传给了第二个参数，正确写法参考：

  for chain in chains:
      # 拆分证书链：第一个为终端证书，后续为中间证书
      end_cert = chain[0]
      intermediate_certs = chain[1:]
      store_ctx = crypto.X509StoreContext(store, end_cert, intermediate_certs)
      store_ctx.verify_certificate()
  

• 完善信任库配置
  确保你信任的根CA证书已全部通过store.add_cert(根证书对象)方法添加到X509Store实例中，如果使用系统根证书池，需手动读取系统根证书文件加载到信任库。
• 校验证书链顺序与完整性
  证书链顺序必须严格遵循「终端证书→一级中间证书→二级中间证书→...→根证书」的层级顺序，不能缺漏任意一级中间证书，顺序错乱或缺失都会触发该错误。
• 适配自签名证书场景
  如果待验证的是自签名证书，需要将该自签名证书本身添加到信任库中，否则无法通过验证。

调试小技巧：可以先通过openssl命令行工具验证证书链本身是否合法，排除证书文件本身的问题：
openssl verify -CAfile 根证书路径.pem -untrusted 中间证书路径.pem 待验证终端证书.pem

内容的提问来源于stack exchange，提问作者aomine_daiki