检索并验证x509证书链

Question

我正在尝试确定在Python中检索和验证x509证书链的最佳方法。

如果链中的任何证书无效，我需要能够明确地确定哪一个以及出于什么原因（例如在命令行中进行openssl验证）。较新版本的Python ssl模块似乎提供了此功能，但我不确定将在哪些版本中运行代码。

我在这里做了最好的研究类似的问题，特别是

How do I verify an SSL certificate in python?
Validate SSL certificates with Python
How do I use m2crypto to validate a X509 certificate chain in a non-SSL setting

然而，我仍然不清楚最好的方法。

是否可以使用内置的ssl模块实现此功能（隔离任何单个无效证书），还是需要使用M2Crypto之类的东西？

如果这些都不合适，那么子进程模块是否会调用openssl作为一个很好的替代解决方案？