Question

我有一个旧工具，无法再与外界成功通信，因为它无法理解任何现代 TLS 协议或密码。我决定把它放在一个转发代理后面，它负责处理 HTTPS 而不是它。我很快根据其他人已经准备解决问题但从未完成的代码编写了一个有效的 Python 代理，但是，在测试中，我很快发现 Stack Exchange 网络站点中的其他一些站点由于此错误而无法通过它打开：

"GET https://stackoverflow.com/" HTTPSConnectionPool(host='stackoverflow.com', port=443): Max retries exceeded with url: / (Caused by SSLError(SSLCertVerificationError(1, '[SSL: CERTIFICATE_VERIFY_FAILED] certificate verify failed: certificate has expired (_ssl.c:1123)')))

我确实遵循了有关手动下载和添加丢失/过期的 CA 证书（在我的案例中我似乎缺少 Let's Encrypt Authority X3（Let's Encrypt R3））到 CA 包的类似问题的建议，但它没有改变一件事。最让我困扰的是我安装了非系统的最新 OpenSSL，而且它也突然受到了影响。

> openssl s_client -connect stackoverflow.com:443 -servername stackoverflow.com -quiet -CAfile .\cacert.pem
depth=2 O = Digital Signature Trust Co., CN = DST Root CA X3
verify return:1
depth=1 C = US, O = Let's Encrypt, CN = Let's Encrypt Authority X3
verify return:1
depth=0 CN = *.stackexchange.com
verify error:num=10:certificate has expired
notAfter=Jan  3 13:02:44 2021 GMT
verify return:1
depth=0 CN = *.stackexchange.com
notAfter=Jan  3 13:02:44 2021 GMT
verify return:1

但与此同时，我以可执行形式保留的旧版代理结果证明能够连接和提供来自任何“过期”域的内容仍然很好，但是......什么？我现在完全不明白这一切；与新版本不同，它也没有最新的 CA 包。

发送请求的代码的相关部分在这里：

    self.timeout = urllib3.util.timeout.Timeout(connect=90.0, read=300.0)
    self.params = dict(maxsize = 10, block = True, timeout = timeout)
    self.sslparams = dict(cert_reqs='CERT_REQUIRED', ca_certs=CA_CERTS,
                          ssl_version=ssl.PROTOCOL_TLS_CLIENT)
    #...
    sslparams = {} if not isSSL else {**self.sslparams,
                                      'server_hostname': host,
                                      'assert_hostname': host,
                                     }
    params = {**sslparams, **self.params}
    pool = urllib3.PoolManager(**params)
    r = pool.urlopen(self.command, url, body=body, headers=headers,
                     enforce_content_length=False, retries=1, redirect=False,
                     preload_content=False, decode_content=False)

附加信息：

> python -c "import ssl; print(ssl.OPENSSL_VERSION)"
OpenSSL 1.1.1g  21 Apr 2020
> python --version
Python 3.9.1

我有 pyOpenSSL v20.0.1 和 urllib3 v1.26.2。我使用的是安装了最新更新的 Windows 10 x64。

Python`urllib3`：突然出现“证书验证失败：证书已过期”错误

0 个答案: