3分钟解决多域名SSL证书问题：HTTPX SNI配置完全指南
项目地址: https://gitcode.com/gh_mirrors/ht/httpx 你是否遇到过HTTPS请求时的SSL证书验证失败？特别是在处理多个域名时，服务器可能返回错误的证书，导致连接被拒绝。本文将教你如何使用HTTPX轻松解决这些问题，3分钟内掌握多域名SSL配置技巧。读完本文，你将学会如何正确配置SSL上下文、处理客户端证书以及解决本地开发环境中的HTTPS连接问题。
为什么会出现SSL证书问题？
当使用HTTPS协议时，HTTPX需要验证请求主机的身份。这通过使用受信任的证书颁发机构（CA）提供的SSL证书束（CA bundle）来实现。常见的问题包括证书过期、域名不匹配或自签名证书未被信任。
快速解决：启用/禁用SSL验证
HTTPX默认会验证HTTPS连接，并在SSL无效的情况下引发错误：
>>> httpx.get("https://expired.badssl.com/")
httpx.ConnectError: [SSL: CERTIFICATE_VERIFY_FAILED] certificate verify failed: certificate has expired (_ssl.c:997)
你可以完全禁用SSL验证以允许不安全的请求（仅建议用于测试环境）：
>>> httpx.get("https://expired.badssl.com/", verify=False)
<Response [200 OK]>
官方文档中详细介绍了SSL验证的更多信息：docs/advanced/ssl.md
高级配置：自定义SSL上下文
对于生产环境，推荐使用自定义SSL上下文来处理复杂的证书需求。以下是创建默认SSL上下文的示例：
import certifi
import httpx
import ssl
# 这等同于默认的 `verify=True`
ctx = ssl.create_default_context(cafile=certifi.where())
client = httpx.Client(verify=ctx)
多域名证书处理
当服务器使用多域名证书或通配符证书时，确保正确配置SNI（Server Name Indication）非常重要。HTTPX会自动处理SNI，但你也可以显式配置：
import ssl
import httpx
ctx = ssl.create_default_context()
ctx.check_hostname = True # 确保主机名检查已启用
client = httpx.Client(verify=ctx)
使用系统证书存储
在企业环境中，可能需要使用系统证书存储而不是Python的证书束：
import ssl
import truststore
import httpx
# 使用系统证书存储
ctx = truststore.SSLContext(ssl.PROTOCOL_TLS_CLIENT)
client = httpx.Client(verify=ctx)
客户端证书配置
某些服务要求客户端提供证书进行身份验证：
ctx = ssl.create_default_context()
ctx.load_cert_chain(certfile="path/to/client.pem") # 可选keyfile或password
client = httpx.Client(verify=ctx)
本地开发环境HTTPS配置
在本地测试HTTPS服务时，可以使用自签名证书：
- 使用trustme生成服务器密钥/证书文件和客户端证书文件
- 启动本地服务器时传入服务器密钥/证书
- 配置HTTPX使用客户端证书：
ctx = ssl.create_default_context(cafile="client.pem")
client = httpx.Client(verify=ctx)
环境变量配置
HTTPX支持通过环境变量配置SSL证书：
SSL_CERT_FILE: 指定CA证书文件路径SSL_CERT_DIR: 指定CA证书目录
更多信息请参见：docs/environment_variables.md
总结
本文介绍了HTTPX中SSL配置的各种场景，从简单的验证开关到复杂的多域名证书处理。正确配置SSL对于确保通信安全至关重要，尤其是在处理敏感数据时。
记住，禁用SSL验证只应在测试环境中使用。生产环境中始终使用适当配置的SSL上下文，并确保证书链完整且有效。
有关更多高级主题，请参阅：
创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考
