### 使用 baidu.com 的 CA 证书通过 huaweicloud.com HTTPS 校验的原因分析 在 Python 的 `requests` 库中，HTTPS 请求的校验依赖于提供的 CA 证书或默认的信任存储。如果使用 baidu.com 的 CA 证书能够成功校验 huaweicloud.com 的请求，则可能涉及以下原因： #### 1. 共享根证书颁发机构 baidu.com 和 huaweicloud.com 的证书可能由同一个根 CA 签发。在这种情况下，即使客户端使用的是 baidu.com 的中间 CA 证书，只要该中间 CA 被根 CA 签名，并且根 CA 在信任链中存在，那么验证仍然可以通过[^1]。 #### 2. 中间 CA 的交叉签名 某些 CA 可能会通过交叉签名的方式共享信任链。这意味着 baidu.com 的中间 CA 证书可能被用于签署 huaweicloud.com 的证书，从而使得客户端能够通过 baidu.com 的 CA 证书验证 huaweicloud.com 的请求[^2]。 #### 3. 自定义信任存储配置 在 `requests` 库中，通过设置 `verify` 参数为特定的 CA 证书路径，可以覆盖默认的信任存储。如果该路径下的 CA 证书包含了 huaweicloud.com 证书链中的某个中间 CA 或根 CA，则验证可以通过。例如，在代码中明确指定 `verify='path/to/baidu.com/ca.crt'` 后，如果该证书文件包含 huaweicloud.com 所需的信任链信息，则校验成功[^3]。 ```python import requests url = "https://huaweicloud.com" response = requests.get(url, verify="path/to/baidu.com/ca.crt") print(response.status_code) ``` #### 4. 宽松的证书校验规则 在某些实现中，SSL/TLS 校验机制可能存在宽松处理的情况。例如，客户端可能未严格验证证书链的完整性或域名匹配规则，导致误将 baidu.com 的 CA 证书视为有效的信任点[^4]。 #### 5. 默认信任存储的影响 如果系统默认的信任存储中已经包含了 huaweicloud.com 的根 CA，则即使指定了 baidu.com 的 CA 证书，`requests` 库仍可能回退到默认的信任存储进行验证。这种行为取决于底层 SSL/TLS 实现的具体逻辑[^5]。 --- ### 示例代码：验证证书链 以下代码演示了如何通过自定义 CA 证书验证 HTTPS 请求： ```python import requests # 指定自定义 CA 证书路径 url = "https://huaweicloud.com" ca_cert_path = "path/to/baidu.com/ca.crt" try: response = requests.get(url, verify=ca_cert_path) print("Certificate validation succeeded.") print(f"Response status code: {response.status_code}") except requests.exceptions.SSLError as e: print(f"Certificate validation failed: {e}") ``` --- ###