Jak sprawić, by żądania Pythona ufały certyfikatowi SSL z podpisem własnym?

import requests
data = {'foo':'bar'}
url = 'https://foo.com/bar'
r = requests.post(url, data=data)

Jeśli adres URL używa certyfikatu z podpisem własnym, kończy się to niepowodzeniem

requests.exceptions.SSLError: [Errno 1] _ssl.c:507: error:14090086:SSL routines:SSL3_GET_SERVER_CERTIFICATE:certificate verify failed

Wiem, że mogę przejść Falsedo verifyparametru tak:

r = requests.post(url, data=data, verify=False)

Chciałbym jednak skierować żądania do kopii klucza publicznego na dysku i powiedzieć mu, aby ufał temu certyfikatowi.

próbować:

r = requests.post(url, data=data, verify='/path/to/public_key.pem')

Za pomocą tego verifyparametru można podać niestandardowy pakiet urzędu certyfikacji

requests.get(url, verify=path_to_bundle_file)

Z dokumentów :

Możesz przekazać verifyścieżkę do pliku CA_BUNDLE z certyfikatami zaufanych urzędów certyfikacji. Tę listę zaufanych urzędów certyfikacji można również określić za pomocą zmiennej środowiskowej REQUESTS_CA_BUNDLE.

Najłatwiej jest wyeksportować zmienną REQUESTS_CA_BUNDLEwskazującą na Twój prywatny urząd certyfikacji lub konkretny pakiet certyfikatów. W linii poleceń możesz to zrobić w następujący sposób:

export REQUESTS_CA_BUNDLE=/path/to/your/certificate.pem
python script.py

Jeśli masz swój urząd certyfikacji i nie chcesz wpisywać za exportkażdym razem, możesz dodać REQUESTS_CA_BUNDLEdo swojego ~/.bash_profilew następujący sposób:

echo "export REQUESTS_CA_BUNDLE=/path/to/your/certificate.pem" >> ~/.bash_profile ; source ~/.bash_profile

Przypadek, w którym potrzeba wielu certyfikatów, został rozwiązany w następujący sposób: Połącz wiele głównych plików PEM, myCert-A-Root.pem i myCert-B-Root.pem, do pliku. Następnie ustaw żądania REQUESTS_CA_BUNDLE var na ten plik w moim ./.bash_profile.

$ cp myCert-A-Root.pem ca_roots.pem
$ cat myCert-B-Root.pem >> ca_roots.pem
$ echo "export REQUESTS_CA_BUNDLE=~/PATH_TO/CA_CHAIN/ca_roots.pem" >> ~/.bash_profile ; source ~/.bash_profile

Ustawienie export SSL_CERT_FILE=/path/file.crtpowinno wystarczyć.

Jeśli ktoś przypadkiem wyląduje tutaj (tak jak ja), chcąc dodać CA (w moim przypadku Charles Proxy) dla httplib2, wygląda na to, że możesz dołączyć go do cacerts.txtpliku dołączonego do pakietu pythona.

Na przykład:

cat ~/Desktop/charles-ssl-proxying-certificate.pem >> /usr/local/google-cloud-sdk/lib/third_party/httplib2/cacerts.txt

Zmienne środowiskowe, do których odwołują się inne rozwiązania, wydają się być specyficzne dla żądań i nie zostały odebrane przez httplib2 podczas moich testów.

Możesz spróbować:

settings = s.merge_environment_settings(prepped.url, None, None, None, None)

Możesz przeczytać więcej tutaj: http://docs.python-requests.org/en/master/user/advanced/