Docker容器中Flask+uWSGI+Nginx调用Jira API遇SSL证书验证失败

Hey there, let's work through this SSL certificate error you're hitting when calling the Jira API from your Dockerized Flask app. Since you suspect it's from an unavoidable self-signed certificate in the chain, here are practical, targeted fixes to get things running smoothly:

1. 把自签名证书导入Docker容器的系统信任池 #

Docker容器有独立的证书存储，只在本地机器导入证书是没用的。更新你的Dockerfile来添加证书：

• 首先把你的证书文件（假设名为jira_cert.pem）复制到容器的系统证书目录，然后刷新证书缓存：

  # 针对Debian/Ubuntu基础镜像
  COPY jira_cert.pem /usr/local/share/ca-certificates/jira_cert.crt
  RUN update-ca-certificates
  
  # 如果用的是Alpine基础镜像，替换成以下代码：
  # COPY jira_cert.pem /usr/local/share/ca-certificates/jira_cert.crt
  # RUN apk add --no-cache ca-certificates && update-ca-certificates
  

  注意：要把证书重命名为.crt后缀——部分系统要求这个格式才能让更新命令识别到。

2. 直接在Jira API客户端指定证书 #

有时候即使更新了系统证书，Python 3.6也可能无法可靠识别。你可以在代码里明确告诉Jira客户端信任你的证书：

如果你用的是官方jira Python库（底层基于requests）：

from jira import JIRA

# 容器内证书的路径（和Dockerfile里复制的路径一致）
CERT_PATH = "/usr/local/share/ca-certificates/jira_cert.crt"

# 用指定证书初始化Jira客户端
jira_client = JIRA(
    server="https://your-jira-instance-url",
    basic_auth=("your-username", "your-password"),
    verify=CERT_PATH
)

一个快速（但不安全）的测试方案：设置verify=False跳过证书验证。只在测试环境用——生产环境绝对不能这么做，这会让你面临中间人攻击风险。

3. 强制Python使用系统证书存储 #

Python 3.6可能默认使用自身捆绑的证书存储，而非系统的。在Docker配置里设置环境变量来修复：

在Dockerfile里添加这行：

ENV REQUESTS_CA_BUNDLE=/etc/ssl/certs/ca-certificates.crt

或者启动容器时传入：

docker run -e REQUESTS_CA_BUNDLE=/etc/ssl/certs/ca-certificates.crt your-app-image-name

这会告诉Jira SDK依赖的requests库使用系统更新后的证书缓存。

4. 检查证书格式是否正确 #

确保你的自签名证书是PEM格式（纯文本，开头是-----BEGIN CERTIFICATE-----）。如果是DER格式，先用下面的命令转换：

openssl x509 -inform der -in jira_cert.der -out jira_cert.pem

可以先从把证书导入容器系统存储的方法开始试，这是生产环境最安全、最可持续的解决方案。

内容的提问来源于stack exchange，提问作者k_r