### 如何在Python中更新CA证书 为了在 Python 中更新 CA 证书，通常涉及几个主要步骤。这些操作可以确保应用程序能够识别新的或自定义的认证机构 (CA)。 #### 使用 `certifi` 库管理 CA Bundle 对于大多数应用来说，推荐使用第三方库如 `certifi` 来处理 CA bundle 的维护工作。这个库提供了由 Mozilla 维护的一个最新版本的信任根存储副本。通过安装并定期升级此包，可轻松保持最新的信任链状态[^1]。 ```bash pip install certifi ``` 当需要指定特定路径下的 CA 文件时，可以通过设置环境变量 `REQUESTS_CA_BUNDLE` 或者直接修改请求会话对象来实现： ```python import os import requests os.environ['REQUESTS_CA_BUNDLE'] = '/path/to/cacert.pem' session = requests.Session() response = session.get('https://example.com') print(response.status_code) ``` #### 手动添加新CA至现有Bundle 如果希望手动向现有的 CA bundle 添加额外的可信证书，则需先获取目标服务器的公钥证书，并将其保存为 PEM 格式的文件。之后可通过拼接的方式将该文件的内容追加到当前使用的 CA bundle 后面[^3]。 假设已经有一个名为 `additional_ca.crt` 的文件包含了要加入的新 CA 数据，那么可以在命令行执行如下操作完成合并： ```bash cat additional_ca.crt >> /usr/local/lib/python3.x/site-packages/certifi/cacert.pem ``` 请注意，在生产环境中更改系统的默认 CA bundle 可能会影响其他依赖它的服务；因此建议创建独立的应用级配置而非全局变更。 #### 更新中间件和根CA证书 有时还需要考虑更新整个链条上的所有组件——不仅限于最终端点所颁发的 SSL/TLS 证书本身，还包括任何可能存在的中级 CA 和顶级根 CA。这一步骤尤其重要，特别是在构建内部 PKI 基础设施的情况下[^4]。 例如，若拥有一个包含多个层级结构的 .pem 文件（其中每一部分都以 -----BEGIN CERTIFICATE----- 开始），则可以直接读取并将它们作为整体传递给相关函数参数。 ```python with open("full_chain.pem", "rb") as f: fullchain_pem_data = f.read() context = ssl.create_default_context(cafile="root_ca.pem") context.load_verify_locations(cadata=fullchain_pem_data.decode()) ``` 上述方法展示了如何加载完整的证书链以及关联的基础 CA 信息用于验证目的。