Python下载文件时禁用SSL验证是否安全？与切换HTTP有何区别？

1. 关闭SSL验证的风险 #

• 即使你已核实目标站点证书合法有效，关闭SSL验证也存在明确安全风险。该操作会跳过服务器身份校验环节，若你处于公共WiFi、运营商网络被劫持等场景，中间人攻击者可伪造目标站点响应，将你要下载的文件替换为恶意程序、植入病毒等，你无法通过证书校验识别伪造的服务端。

2. 代码给他人使用的安全隐患 #

• 存在很高的安全隐患：一方面其他使用者的网络环境不可控，遭遇劫持的概率不可预估；另一方面该关闭验证的逻辑如果被其他人复用在其他业务场景（比如传输敏感数据、下载可执行程序），会大幅放大安全风险，相当于默认提供了一个不安全的代码模板。

3. 改为HTTP协议和关闭SSL验证的效果差异 #

• 两者的核心安全风险高度相似，但HTTP方案的风险更高：
  • 关闭SSL验证的HTTPS请求仍然是加密传输的，只是不校验服务端身份，攻击者要篡改内容需要先完成伪造证书的中间人攻击步骤；
  • HTTP是完全明文传输，所有传输内容对中间人完全可见，篡改不需要额外的伪造证书操作，门槛更低，同时数据也完全没有保密性。

推荐修复方案 #

你遇到的报错大概率是Python环境的根证书库过期/未正确安装导致的，不需要关闭验证也可以解决：

• 如果是macOS系统的Python 3.6+版本，直接运行Python安装目录下的Install Certificates.command脚本即可更新根证书库
• 也可以手动指定可信CA证书路径，urllib的代码示例如下：

import urllib.request
import ssl

# 手动指定系统可信CA路径，或下载官方CA bundle文件传入
context = ssl.create_default_context(cafile="/path/to/trusted/ca-bundle.crt")
url_data = 'https://archive.physionet.org/pn6/chbmit/chb01/chb01_04.edf'
with urllib.request.urlopen(url_data, context=context) as response, open('data.edf', 'wb') as f:
    f.write(response.read())

内容的提问来源于stack exchange，提问作者NeuroEng