Python使用suds库时Linux环境下SSL证书验证失败问题咨询

云原生阿岚

2026-11-2

报错本质说明

该报错的核心是Python运行时加载的受信任CA证书库，找不到目标网站SSL证书链对应的签发方根证书。出现本地运行正常、Linux部署后报错、curl能正常访问但Python校验失败的差异，本质是两套程序读取的信任证书源不统一：
- 本地开发环境的Python通常会对接操作系统的证书存储（Windows读系统证书库、Mac读钥匙串证书），和本地代理、系统配置的信任证书完全打通，不会出现信任缺失
- Linux主机上的curl默认读取系统级CA证书目录，而很多非系统仓库安装的Python（比如源码编译、官网二进制包安装的版本）不会自动关联系统CA库，甚至自带的CA包是缺失的，就会出现明明系统能校验通过、Python却识别不了证书的情况
- 你侧因为要走AppProxy出网，如果代理开启了SSL审计拦截，会用代理自身的内部根证书给所有HTTPS连接重签证书，这张内部证书如果没被Python加载到信任列表，也会触发这个校验报错

可落地的解决步骤

先定位证书不被信任的根因
在Linux主机上执行命令查看目标站点的实际证书签发方：curl -vI https://你的目标服务地址 2>&1 | grep -E "issuer|subject"
如果返回的签发主体不是目标网站对应的公开CA机构，而是你们AppProxy的内部CA名称，就能确认是代理SSL拦截导致的信任缺失，需要把代理的根证书加入Python的信任列表，不需要找目标网站本身的证书。
优先采用证书追加的长期稳妥方案
- 安装Python对应的证书管理包，修复Python默认CA库路径错误的问题：执行pip install certifi，安装完成后可以通过命令查询Python当前加载的CA证书包路径：python -c "import certifi; print(certifi.where())"
- 如果确认是AppProxy的内部CA不被信任，把代理提供的pem格式根证书内容，追加到上述certifi路径对应的证书文件末尾；也可以单独把代理根证书存在独立路径，在代码中显式加载。
- 初始化suds客户端时，构造携带正确CA路径的SSL上下文传入，跳过urllib默认的空信任逻辑，示例代码：
```
import ssl
from suds.client import Client
import certifi

# 构造加载完整CA库的SSL上下文
ssl_context = ssl.create_default_context(cafile=certifi.where())
# 如需额外加载代理根证书，取消下面的注释替换为实际证书路径即可
# ssl_context.load_verify_locations(cafile="/your/path/to/proxy/root.pem")

# 初始化suds客户端时关联自定义SSL上下文
client = Client("https://你的目标WSDL地址", ssl_context=ssl_context)
```
补全Linux主机的系统CA证书库
精简版Linux镜像往往默认不带全量CA根证书包，Debian/Ubuntu系统可以执行apt install ca-certificates && update-ca-certificates补全；RHEL/CentOS系统可以执行yum install ca-certificates && update-ca-trust刷新系统信任证书列表，这一步可以覆盖大部分公开站点的证书信任问题。
临时应急方案（不推荐生产长期使用）
如果短期无法获取对应的CA根证书，可以临时关闭SSL校验逻辑完成应急调试，该操作会跳过所有证书合法性校验，存在中间人攻击的安全风险，严禁直接在生产环境长期开启。对应的代码配置为：
```
import ssl
# 临时关闭证书校验的SSL上下文，仅内网调试使用
ssl_context = ssl.create_default_context()
ssl_context.check_hostname = False
ssl_context.verify_mode = ssl.CERT_NONE
```

内容的提问来源于stack exchange，提问作者BAA