Python Requests使用客户端证书认证失败问题求助

开发者阿泽

2026-5-25

解决requests请求HTTPS时的SSL证书验证失败问题

看起来你已经确认了客户端证书和私钥本身是有效的，那这个错误大概率出在服务器证书的信任验证或者requests参数的配置细节上。我给你梳理几个常见的排查和解决方向：

1. 确认`cert`参数的用法是否正确

requests的cert参数支持两种形式：

单个文件路径：该文件必须同时包含客户端证书和对应的私钥（你已经用openssl确认过这个文件没问题，这一步可以快速跳过，但如果之前合并文件时有格式错误，比如多余的换行符，也可能出问题）
元组形式：分别指定证书文件和私钥文件，比如cert=('/path/to/client_cert.pem', '/path/to/client_key.pem')

如果你的PEM文件是合并的，也可以试试拆分后用元组传参，排除格式兼容问题。

你遇到的certificate verify failed错误，本质是本地无法验证服务器返回的证书是否可信——这和你提供的客户端证书是两回事（客户端证书是服务器验证你，而这个错误是你验证服务器）。

可以用以下步骤排查：

先获取服务器的证书链：
```
openssl s_client -connect xxxx.xxx.xxx:443 -showcerts
```
输出里会列出服务器返回的所有证书，包括服务器证书、中间CA证书、根CA证书。
检查是否有缺失的中间CA：如果输出里的证书链不完整（比如只有服务器证书，没有中间CA），本地就无法完成信任验证。这时候你需要把缺失的中间CA证书添加到一个PEM文件里，然后在请求时指定verify参数指向这个文件：
```
r = requests.get('https://xxxx.xxx.xxx', 
                 cert='/Users/xxxx/Documents/xxxx.pem',
                 verify='/path/to/full_ca_chain.pem')
```
如果服务器的根CA不在系统默认信任池里，也会导致验证失败。这时候你可以把服务器的根CA单独提取出来保存为PEM文件，用verify参数指定它，而不是依赖系统信任。

虽然你已经验证了私钥有效，但还要确认证书的用途是否支持客户端认证：
运行以下命令查看证书的扩展字段：

openssl x509 -in xxxx.pem -text -noout

找到Extended Key Usage部分，确认是否包含TLS Web Client Authentication。如果没有，这个证书是不能用于HTTPS客户端认证的，需要重新申请符合要求的证书。

注意：这是不安全的操作，只能用来确认问题根源，绝对不能在生产环境使用。
如果添加verify=False后请求成功，就可以确定是服务器证书的信任问题，而不是客户端证书的问题：

r = requests.get('https://xxxx.xxx.xxx', 
                 cert='/Users/xxxx/Documents/xxxx.pem',
                 verify=False)

requests默认会使用系统的CA证书池（比如Linux的/etc/ssl/certs，macOS的钥匙串）。如果服务器的根CA不在这个池里，也会验证失败。你可以尝试更新系统的CA证书，或者直接用verify参数指定自定义的CA文件，绕过系统池。

内容的提问来源于stack exchange，提问作者Kun Wu