Python Requests: a CA-kötegek a verify alá tartoznak, nem a cert alá
Helyezze a jóváhagyott CA-bizalmi anyagot az ellenőrzési konfigurációba, ahelyett hogy a tanúsítványhibát az ügyfél privát kulcsára vonatkozó kérésként kezelné.
Egy kolléga átadja a szervezet CA-tanúsítványát. A Requests kínál egy cert nevű paramétert. A nevek párnak tűnnek, de különböző kérdésekre válaszolnak.
| Beállítás | Cél |
|---|---|
verify | Kiválasztja a partner ellenőrzéséhez használt bizalmi anyagot |
cert | Bemutat egy ügyféltanúsítványt a privát kulcsával együtt, amikor ügyfél-hitelesítés szükséges |
Jóváhagyott elfogó CA esetén egy Requests-művelet kiválaszthatja a szándékolt CA-köteget:
response = requests.get(
'https://example.com/',
proxies=routes,
verify='/path/to/approved-ca-bundle.pem',
timeout=15,
)Itt a routes az alkalmazás meglévő proxy-hozzárendelése. Az útvonalnak meg kell neveznie az ehhez az ügyfélhez tartozó helyes, olvasható bizalmi köteget. Ez nem egy letöltött webhelytanúsítvány, amelyet csak azért választottak, mert a kapcsolat meghiúsult.
A REQUESTS_CA_BUNDLE környezeti változó egy másik támogatott bizalmi bemenet. Ha hatástalannak tűnik, ellenőrizze a tényleges küldési útvonalat; az előkészített kéréses munkafolyamatok és a kifejezett beállítások megváltoztathatják, hogyan olvad össze a környezeti konfiguráció.
Nem kellene szükségünk lennie a CA privát kulcsára
Az ügyfélnek a nyilvános CA-tanúsítványra van szüksége ahhoz, hogy felismerje a jóváhagyott kibocsátót. A hozzá tartozó aláíró privát kulcs egy másik fél erős titka. Nem szabadna rutinszerű proxy-bizalmi javítás részeként az alkalmazás felhasználói között terjeszteni.
Egy ügyféltanúsítványt továbbra is megkövetelhet egy adott cél vagy egy másik, külön beállított TLS-kapcsolat. Ez külön követelmény, nem pedig valami, amit minden tanúsítvány-ellenőrzési hibából levezetünk.
Amikor megjelenik a következő hiba, nevezze meg a műveletet: CA-fájl betöltése, partnertanúsítvány ellenőrzése vagy ügyfél-identitás bemutatása. Egy fájl mozgatása a verify és a cert között, amíg az üzenet meg nem változik, nem megbízható módja a szerepe kiválasztásának.