转换客户端证书后Python Requests无法获取成功响应问题

我之前也碰到过一模一样的情况——Chrome导入.p12能正常访问目标端点，但用Python 2.7的Requests调用就失败，本质上是证书转换细节或者Requests参数配置的问题，毕竟Chrome会自动处理证书链和密钥的关联逻辑，而Requests需要我们明确指定。下面给你一步步排查和解决的方法：

先排查证书转换的坑 #

你用的openssl命令里可能藏着小问题：比如你写的–nodes是中文长破折号，必须换成英文的-nodes，否则转换出来的certificate.pem格式会出错，导致Requests无法识别。

正确的转换方式 #

推荐两种转换路径，选一种就行：

方式1：生成包含证书+私钥的合并PEM文件

openssl pkcs12 -in my.p12 -out combined.pem -nodes

执行时输入你的.p12密码，生成的combined.pem里同时包含证书和未加密的私钥。

方式2：分开提取证书和私钥

• 提取私钥：

openssl pkcs12 -in my.p12 -out private.key -nodes -nocerts

• 提取证书：

openssl pkcs12 -in my.p12 -out cert.pem -nokeys

调整Requests的调用参数 #

根据你生成的文件类型，对应不同的调用方式：

用合并的PEM文件调用 #

import requests

target_url = "你的目标端点URL"
# 如果转换时用了-nodes，私钥无密码，直接传PEM路径即可
response = requests.get(target_url, cert="combined.pem")
# 如果服务器的CA证书不在系统信任链里，先临时关闭验证排查问题（上线前要改回来）
# response = requests.get(target_url, cert="combined.pem", verify=False)

print(response.status_code)
print(response.text)

用分开的证书和私钥调用 #

import requests

target_url = "你的目标端点URL"
# 传元组：(证书文件路径, 私钥文件路径)
response = requests.get(target_url, cert=("cert.pem", "private.key"))
# 同样，必要时关闭服务器证书验证
# response = requests.get(target_url, cert=("cert.pem", "private.key"), verify=False)

print(response.status_code)
print(response.text)

更省心的方案：直接加载.p12文件（推荐） #

如果不想折腾转换步骤，可以用requests_pkcs12库直接读取.p12文件，这个库专门解决Requests不支持直接加载PKCS12证书的问题，而且完美兼容Python 2.7：

安装依赖 #

pip install requests_pkcs12

调用代码 #

import requests_pkcs12

target_url = "你的目标端点URL"
response = requests_pkcs12.get(
    target_url,
    pkcs12_filename="my.p12",
    pkcs12_password="你的.p12密码"
)

print(response.status_code)
print(response.text)

额外排查点 #

1. Requests版本问题：Python 2.7对应的Requests最新兼容版本是2.27.1，如果你用的版本太老，可能存在客户端证书的兼容性bug，执行pip install requests==2.27.1升级试试。
2. 服务器证书验证：如果你的端点用的是自签名CA证书，必须把CA证书传给verify参数（比如verify="ca_cert.pem"），而不是直接设为False（上线环境不建议关闭验证）。

内容的提问来源于stack exchange，提问作者Chris