Question

我尝试使用pip安装pybgpdump，但是pip抛出了下面的错误。

pip install pybgpdump
Downloading/unpacking pybgpdump
  You are installing a potentially insecure and unverifiable file. Future versions of pip will default to disallowing insecure files.
  Error <urlopen error [Errno 1] _ssl.c:504: error:14090086:SSL routines:SSL3_GET_SERVER_CERTIFICATE:certificate verify failed> while getting https://jon.oberheide.org/pybgpdump/downloads/pybgpdump-0.2.tar.gz (from https://jon.oberheide.org/pybgpdump/)
Cleaning up..

为什么pip尝试验证pybgpdump包？

安全和不安全文件之间有什么区别？

Answer 1

因为从pip版本1.3开始，https是默认协议。

在CHANGES.txt中：

**1.3 (2013-03-07)**

* SSL Cert Verification; Make https the default for PyPI access.
  Thanks James Cleveland, Giovanni Bajo, Marcus Smith and many others (:pull:`791`, CVE-2013-1629).

并且因为pybgpdump托管在外部服务器（https://jon.oberheide.org/pybgpdump/）上，并且您没有安装正确的证书。

另请注意，pypi包索引仅包含pybgpdump的0.1版本，最后一个版本为0.2

为什么pip会阻止安装潜在的不安全和无法验证的文件？

1 个答案: