### Python HTTPS 验证服务端证书的最佳实践与实现方法 在Python中，验证服务端的HTTPS证书是确保通信安全的重要步骤。以下是最佳实践和实现方法： #### 1. 使用 `requests` 库进行证书验证 Python 的 `requests` 库提供了内置的证书验证功能。通过设置 `verify` 参数为 `True`（默认值），可以自动验证服务端的证书是否由受信任的CA签发[^1]。 ```python import requests url = "https://example.com" response = requests.get(url, verify=True) # 默认为 True print(response.status_code) ``` 如果目标服务器使用的是自签名证书或内部CA签发的证书，则需要将该CA的证书文件路径传递给 `verify` 参数[^1]。 ```python import requests url = "https://example.com" ca_cert_path = "/path/to/ca_certificate.pem" response = requests.get(url, verify=ca_cert_path) print(response.status_code) ``` #### 2. 使用 `ssl` 模块创建安全的Socket连接 对于更底层的网络通信，可以使用Python的 `ssl` 模块结合 `socket` 模块来创建安全的Socket连接，并验证服务端证书[^2]。 ```python import ssl import socket hostname = 'example.com' context = ssl.create_default_context() with socket.create_connection((hostname, 443)) as sock: with context.wrap_socket(sock, server_hostname=hostname) as ssock: print(ssock.version()) # 输出使用的TLS版本 ``` #### 3. 自定义证书验证逻辑 在某些特殊情况下，可能需要自定义证书验证逻辑。例如，检查证书中的特定字段或忽略某些验证错误。可以通过 `requests` 的 `cert` 参数或 `ssl` 模块的上下文配置来实现。 ```python import requests def custom_verify(cert, hostname): # 自定义验证逻辑 return True # 或根据条件返回 False url = "https://example.com" response = requests.get(url, verify=custom_verify) print(response.status_code) ``` 需要注意的是，完全禁用证书验证（如将 `verify` 设置为 `False`）会带来严重的安全风险，因此不推荐这样做。 #### 4. 工作流程概述 HTTPS证书验证的工作流程包括以下步骤： - 客户端发起HTTPS请求。 - 服务器返回包含公钥的数字证书。 - 客户端验证证书的有效性（通过CA机构签名等方式）。 - 若证书有效，客户端生成一个对称密钥并用服务器的公钥加密后发送给服务器。 - 服务器用自己的私钥解密，得到对称密钥。 - 双方使用对称密钥进行加密通信[^3]。 --- ###