我需要在公司内部网络使用自定义根证书，并将它们加载到Mac OS TrustStore（KeyChain）中，以解决所有浏览器和GUI应用程序的问题。
似乎这甚至可以与Mac OS X附带的curl版本一起使用，但是它无法与Python一起使用，即使是附带于Mac OS 10.12 Sierra（Python 2.7.10）的版本也是如此。
尽管如此，似乎我会受到以下影响：
urllib2.URLError: <urlopen error [SSL: CERTIFICATE_VERIFY_FAILED] certificate verify failed (_ssl.c:590)>
因为我在很多 Python 工具中都遇到了这个问题。如果我能找到一种方法来避免它而不必打补丁，我会非常感激。
提供自定义 CA 证书并不是一个选项，因为我无法打补丁我使用的数十个 Python 工具。
大多数工具都使用 requests 库，但也有一些直接使用 Python 中的本地 ssl 支持。
这也是在Python 3.6与MacOS Sierra中的一个问题。我知道你的用例不同，但在调查此问题时，我偶然发现了这个线程。所以如果有人也遇到这个问题，这篇文章值得一看：
http://www.cdotson.com/2017/01/sslerror-with-python-3-6-x-on-macos-sierra/
简而言之：Python 3.6不再依赖于MacOS的openSSL。它自带其自己的openSSL并且没有访问MacOS的根证书。
您有两个选择：
运行随Python 3.6提供的安装命令
cd /Applications/Python\ 3.6/
./Install\ Certificates.command
或者
使用以下命令安装certifi包
pip install certifi
我选择了第一个选项，它起作用了。
certifi之后，我们需要遵循https://dev59.com/UFkR5IYBdhLWcg3w4hDN#57795811的步骤。 - Andrew Chong运行此命令以设置相应的变量。这是已经在此处给出的答案的组合。将其放在您的~/.bash_profile中，以使其永久化。
CERT_PATH=$(python -m certifi)
export SSL_CERT_FILE=${CERT_PATH}
export REQUESTS_CA_BUNDLE=${CERT_PATH}
brew安装了Python 3.9.2。 - Marcello Romani在 Mac 上安装 Python 环境，请使用 brew install python 命令。
$ python3
Python 3.7.3 (v3.7.3:ef4ec6ed12, Mar 25 2019, 16:52:21)
[Clang 6.0 (clang-600.0.57)] on darwin
Type "help", "copyright", "credits" or "license" for more information.
>>> import certifi
>>> certifi.where()
'/Library/Frameworks/Python.framework/Versions/3.7/lib/python3.7/site-packages/certifi/cacert.pem'
>>>
或者从命令行中运行：
$ python -m certifi
然后需要将cacert.pem作为cert.pem链接
$ ln -s /Library/Frameworks/Python.framework/Versions/3.7/lib/python3.7/site-packages/certifi/cacert.pem cert.pem
$ pwd
/Library/Frameworks/Python.framework/Versions/3.7/etc/openssl
rehash
然后正常工作。
python -c "import ssl; print(ssl.get_default_verify_paths())"，从输出中找到列出的 openssl_cafile 值。 - not2savvyrehash 无法使用（命令未找到），请改用 c_rehash。 - not2savvysecurity export -t certs -f pemseq -k /System/Library/Keychains/SystemRootCertificates.keychain -o bundleCA.pem
如果您想信任一些内部自签名的CA证书，也请导出它们。这些证书可能存储在系统钥匙串中：
security export -t certs -f pemseq -k /Library/Keychains/System.keychain -o selfSignedCAbundle.pem
cat bundleCA.pem selfSignedCAbundle.pem >> allCAbundle.pem
导出为bash变量
export REQUESTS_CA_BUNDLE=/path/to/allCAbundle.pem
.bash_profile中。REQUESTS_CA_BUNDLE仅适用于单个文件，而不适用于目录。如果您将其他证书放入PEM捆绑文件中，则可以使用这两个环境变量来覆盖Python openssl和requests使用的默认证书存储。
SSL_CERT_FILE=/System/Library/OpenSSL/cert.pem
REQUESTS_CA_BUNDLE=/System/Library/OpenSSL/cert.pem
REQUESTS_CA_BUNDLE 设置为我生成的堆叠 .pem，解决了我的使用Requests访问内部根CA的问题。感谢@Sorin。 - Nathan Basanese我看到很多答案建议关闭证书验证或使用certifi.where。虽然关闭SSL是明显的风险，但certifi.where也存在风险，特别是如果您打算将此代码用于运行在客户环境中的生产代码。
PEP描述了为什么这样做是错误的。
ssl.create_default_context与Linux和Windows信任库很好地集成。问题在于，就像您在Mac上的情况一样。
我通过使用集成的安全命令行工具加载证书来解决这个问题。
def create_macos_ssl_context():
import subprocess
import ssl
import tempfile
ctx = ssl.create_default_context()
macos_ca_certs = subprocess.run(["security", "find-certificate", "-a", "-p",
"/System/Library/Keychains/SystemRootCertificates.keychain"],
stdout=subprocess.PIPE).stdout
with tempfile.NamedTemporaryFile('w+b') as tmp_file:
tmp_file.write(macos_ca_certs)
ctx.load_verify_locations(tmp_file.name)
print(ctx.get_ca_certs())
$ ipython
Python 3.7.0 (v3.7.0:1bf9cc5093, Jun 26 2018, 23:26:24)
Type 'copyright', 'credits' or 'license' for more information
IPython 7.0.1 -- An enhanced Interactive Python. Type '?' for help.
In [1]: import bokeh.sampledata
In [2]: bokeh.sampledata.download()
Using data directory: /Users/me/.bokeh/data
...
SSLCertVerificationError: [SSL: CERTIFICATE_VERIFY_FAILED] certificate verify failed: unable to get local issuer certificate (_ssl.c:1045)
解决问题的指南在/Applications/Python\ 3.7/ReadMe.rtf文件中。
按照那里的建议运行/Applications/Python\ 3.7/Install\ Certificates.command，可以解决问题：
从终端执行：
$ /Applications/Python\ 3.7/Install\ Certificates.command
重新启动IPython...
$ ipython
>>> import bokeh.sampledata
>>> bokeh.sampledata.download()
Using data directory: /Users/me/.bokeh/data
Downloading: CGM.csv (1589982 bytes)
1589982 [100.00%]
...
对我来说，在mac High Sierra上使用python3时，/Applications/Python\ 3.6/./Install\ Certificates命令在pip certifi安装中失败了，所以pip有些失败，我必须使用pip3。
所以这是我做的：
pip3 install --update certify请注意，您将在以下位置找到cert.pem符号链接：/Library/Frameworks/Python.framework/Versions/3.6/etc/openssl/
使用certifi更新SSL证书（仅适用于MacOS）
我们所要做的就是运行以下代码片段的命令：
- Press "command + space" button or open Spotlight
- type "Install Certificates.command"
从Certifi项目https://github.com/certifi/python-certifi/blob/master/certifi/cacert.pem下载证书。FYI Certifi是一个第三方库，提供Mozilla精选的根证书集合，用于验证SSL证书的可信度并验证TLS主机的身份。
然后添加到您的~/.zshrc（适用于最新的MacOS）或~/.bash_profile或类似文件中：
export SSL_CERT_FILE=/pathtodownloadedfile/cacert.pem
export REQUESTS_CA_BUNDLE=/pathtodownloadedfile/cacert.pem