Как заставить запросы Python доверять самоподписанному сертификату SSL?

import requests
data = {'foo':'bar'}
url = 'https://foo.com/bar'
r = requests.post(url, data=data)

Если URL-адрес использует самоподписанный сертификат, это не сработает с

requests.exceptions.SSLError: [Errno 1] _ssl.c:507: error:14090086:SSL routines:SSL3_GET_SERVER_CERTIFICATE:certificate verify failed

Я знаю, что могу перейти Falseк verifyпараметру, например:

r = requests.post(url, data=data, verify=False)

Однако я бы хотел направить запросы на копию открытого ключа на диске и сказать ему доверять этому сертификату.

пытаться:

r = requests.post(url, data=data, verify='/path/to/public_key.pem')

С помощью verifyпараметра вы можете предоставить пакет настраиваемого центра сертификации

requests.get(url, verify=path_to_bundle_file)

Из документов :

Вы можете передать verifyпуть к файлу CA_BUNDLE с сертификатами доверенных центров сертификации. Этот список доверенных центров сертификации также можно указать с помощью переменной среды REQUESTS_CA_BUNDLE.

Самый простой - экспортировать переменную, REQUESTS_CA_BUNDLEкоторая указывает на ваш частный центр сертификации или на конкретный пакет сертификатов. В командной строке это можно сделать следующим образом:

export REQUESTS_CA_BUNDLE=/path/to/your/certificate.pem
python script.py

Если у вас есть центр сертификации и вы не хотите вводить его exportкаждый раз, вы можете добавить REQUESTS_CA_BUNDLEего ~/.bash_profileследующим образом:

echo "export REQUESTS_CA_BUNDLE=/path/to/your/certificate.pem" >> ~/.bash_profile ; source ~/.bash_profile

Случай, когда требуется несколько сертификатов, был решен следующим образом: объединить несколько корневых файлов pem, myCert-A-Root.pem и myCert-B-Root.pem, в файл. Затем установите запросы REQUESTS_CA_BUNDLE var в этот файл в моем ./.bash_profile.

$ cp myCert-A-Root.pem ca_roots.pem
$ cat myCert-B-Root.pem >> ca_roots.pem
$ echo "export REQUESTS_CA_BUNDLE=~/PATH_TO/CA_CHAIN/ca_roots.pem" >> ~/.bash_profile ; source ~/.bash_profile

Настройка export SSL_CERT_FILE=/path/file.crtдолжна делать свою работу.

Если кто-то случайно приземлится здесь (как это сделал я), желающий добавить CA (в моем случае Charles Proxy) для httplib2, похоже, вы можете добавить его в cacerts.txtфайл, включенный в пакет python.

Например:

cat ~/Desktop/charles-ssl-proxying-certificate.pem >> /usr/local/google-cloud-sdk/lib/third_party/httplib2/cacerts.txt

Переменные среды, на которые есть ссылки в других решениях, кажутся специфичными для запросов и не были обнаружены httplib2 в моем тестировании.

Вы можете попробовать:

settings = s.merge_environment_settings(prepped.url, None, None, None, None)

Вы можете прочитать больше здесь: http://docs.python-requests.org/en/master/user/advanced/