Windows下Python、Postman加客户端证书后报unable to get local issuer certificate求助

PowerShell 5.1默认调用Windows系统的可信证书链与网络配置，而Python requests、Postman默认使用独立的证书池与网络配置，这是三者表现不一致的核心原因，可按以下步骤排查修复：

证书链排查修正 #

• 你之前仅导出了目标站点的叶子证书，未补全完整证书链。需要从Chrome证书详情的「证书路径」标签页，依次导出根CA、中间CA、站点证书三个Base64编码的X.509文件，将三个文件的内容全部追加到certifi的cacert.pem文件末尾。
• 可通过openssl命令验证证书有效性：openssl s_client -connect <目标域名:端口> -CAfile <你的证书文件路径.pem>，若返回Verify return code: 0 (ok)则证书配置正确。

Python环境适配方案 #

• 优先安装python-certifi-win32库：执行pip install python-certifi-win32，该库会自动将Windows系统可信证书存储中的根证书合并到certifi的证书池，无需手动修改cacert.pem文件，也能避免certifi升级后自定义配置被覆盖的问题。
• 若不想修改全局配置，可在请求中手动指定完整证书链路径：将verify参数设置为你导出的完整证书链文件路径，示例：token_response = requests.request("POST", url, headers=headers, data=payload, verify="./full_ca_chain.pem")

企业网络配置排查 #

• 确认你所在企业是否部署了SSL流量拦截网关（中间人解密设备），这类设备会替换所有出站HTTPS请求的证书，需要向网络管理员索要企业自签名根CA证书，将其导入Windows系统的「受信任的根证书颁发机构」存储，同时添加到certifi证书池或Postman的证书配置中。
• 确认Python/Postman的代理配置与系统保持一致：PowerShell默认使用Windows系统代理，而requests默认不读取系统代理，可通过设置环境变量HTTP_PROXY、HTTPS_PROXY为企业代理地址，或在请求中添加proxies参数配置代理。
• 若需向管理员索要具体配置，可直接询问以下内容：企业SSL拦截根CA证书文件、目标服务访问所需的代理地址/端口/认证信息、目标服务支持的TLS版本与密码套件要求。

Postman适配方案 #

• 打开Postman设置→Certificates→开启CA Certificates，上传你导出的完整证书链文件即可。
• 同步配置Postman的代理设置与Windows系统代理保持一致。

内容的提问来源于stack exchange，提问作者Python Developer