要使用的CA文件的名称可以通过验证:

cafile = 'cacert.pem' # http://curl.haxx.se/ca/cacert.pem
r = requests.get(url, verify=cafile)

如果使用verify=True，则requests使用自己的CA集，该CA集可能没有签署您的服务器证书的CA。

来自SSL验证的请求文档:

请求可以验证HTTPS请求的SSL证书，就像web浏览器一样。要检查主机的SSL证书，可以使用verify参数:

>>> requests.get('https://kennethreitz.com', verify=True)

如果您不想验证您的SSL证书，则使verify=False

如果你不关心证书，使用verify=False即可。

import requests

url = "Write your url here"

returnResponse = requests.get(url, verify=False)

如果你有一个依赖于请求的库，你不能修改验证路径(比如pyvmomi)，那么你必须找到cacert。. pem和请求捆绑在一起，并在那里追加您的CA。下面是查找cacert的通用方法。pem位置:

窗户

C:\>python -c "import requests; print requests.certs.where()"
c:\Python27\lib\site-packages\requests-2.8.1-py2.7.egg\requests\cacert.pem

linux

#  (py2.7.5,requests 2.7.0, verify not enforced)
root@host:~/# python -c "import requests; print requests.certs.where()"
/usr/lib/python2.7/dist-packages/certifi/cacert.pem

#  (py2.7.10, verify enforced)
root@host:~/# python -c "import requests; print requests.certs.where()"
/usr/local/lib/python2.7/dist-packages/requests/cacert.pem

顺便说一句。@requests-devs，把自己的cacerts和request捆绑在一起真的很讨厌…特别是事实是，您似乎没有首先使用系统ca存储，这是没有记录在任何地方。

更新

在使用库且无法控制ca-bundle位置的情况下，你也可以显式地将ca-bundle位置设置为主机范围内的ca-bundle:

REQUESTS_CA_BUNDLE=/etc/ssl/certs/ca-bundle.crt python -c "import requests; requests.get('https://somesite.com')";

正如其他人指出的那样，这个问题“是由不受信任的SSL证书引起的”。我的答案是基于评分最高的答案和这个答案。

您可以使用curl测试证书:

curl -vvI https://example.com

如果一个错误返回，你有3个选项:

为了快速修复，您可以不验证证书:

requests.get('https://example.com', verify=False)

将路径传递给CA_BUNDLE文件或包含受信任ca证书的目录:

requests.get('https://example.com', verify='/path/to/certfile')

如果您有权访问，请修复web服务器证书。

我的问题在于我只使用了我站点的证书，而不是中间证书(也就是链证书)。

如果你正在使用Let's Encrypt，你应该使用全链。Pem文件，而不是cert.pem。

我在使用aws boto3时遇到了同样的问题和ssl证书验证失败的问题，通过检查boto3代码，我发现没有设置REQUESTS_CA_BUNDLE，所以我通过手动设置来修复这两个问题:

from boto3.session import Session
import os

# debian
os.environ['REQUESTS_CA_BUNDLE'] = os.path.join(
    '/etc/ssl/certs/',
    'ca-certificates.crt')
# centos
#   'ca-bundle.crt')

对于aws-cli，我想在~/中设置REQUESTS_CA_BUNDLE。Bashrc将修复这个问题(没有测试，因为我的aws-cli没有它也能工作)。

REQUESTS_CA_BUNDLE=/etc/ssl/certs/ca-certificates.crt # ca-bundle.crt
export REQUESTS_CA_BUNDLE