Jenkins Docker环境下使用httparty出现SSL证书验证失败如何解决？

报错根因 #

HTTParty 默认使用自带的CA证书包，不会自动读取Docker环境中系统层面安装的SSL证书，因此即使你已经把证书导入到系统证书库，HTTParty发起请求时还是找不到对应的根证书，触发验证失败报错。
另外你贴出的代码中basic_auth参数的写法存在语法错误，HTTParty要求该参数下必须显式指定username和password两个键，直接传两个Symbol会触发语法错误。

解决方案 #

方案1：临时跳过SSL验证（仅适用于调试场景，生产环境禁止使用） #

在请求参数中添加verify_ssl: false关闭SSL校验，修改后代码如下：

require 'httparty'

HTTParty.post(TOKEN_PATH,
              basic_auth: {
                             username: CLIENT_ID,
                             password: CLIENT_SECRET
                           },
              body: { grant_type: 'client_credentials',scope: '' },
              verify_ssl: false
)

方案2：指定自定义CA证书路径（生产环境推荐） #

直接在请求参数中指定你安装到Docker里的CA证书绝对路径，既保留SSL校验能力又能解决证书识别问题，修改后代码如下：

require 'httparty'

HTTParty.post(TOKEN_PATH,
              basic_auth: {
                             username: CLIENT_ID,
                             password: CLIENT_SECRET
                           },
              body: { grant_type: 'client_credentials',scope: '' },
              ssl_ca_file: "/usr/local/share/ca-certificates/你的自定义根证书文件名.crt"
)

你需要把ssl_ca_file的参数值替换为你实际存放到Docker里的CA证书绝对路径。

方案3：全局配置HTTParty使用系统证书库 #

如果你的代码中多处调用HTTParty，可以全局配置默认使用系统的CA证书bundle，不需要每个请求都加参数，配置代码如下：

require 'httparty'
# Debian/Ubuntu系镜像使用这个路径
HTTParty::Basement.default_options.update(verify: true, ssl_ca_file: '/etc/ssl/certs/ca-certificates.crt')
# 如果是CentOS/RHEL系镜像，替换为下面的路径
# HTTParty::Basement.default_options.update(verify: true, ssl_ca_file: '/etc/pki/tls/certs/ca-bundle.crt')

# 后续的HTTParty请求不需要再加SSL相关参数
HTTParty.post(TOKEN_PATH,
              basic_auth: {
                             username: CLIENT_ID,
                             password: CLIENT_SECRET
                           },
              body: { grant_type: 'client_credentials',scope: '' }
)

内容的提问来源于stack exchange，提问作者tes8989