0

我的代码中有以下函数，当我不在任何代理后面时，它工作得很好。事实上，即使不提certifi default CA certificate，如果我通过verify=TRUE，它也可以正常工作，我猜，因为它以相同的方式工作。

def reverse_lookup(lat, long):
    cafile=certifi.where()
    params={'lat' : float(lat), 'lon' : float(long), 'format' : 'json',
            'accept-language' : 'en', 'addressdetails' : 1}
    response = requests.get("https://nominatim.openstreetmap.org/reverse", params=params, verify=cafile)
    #response = requests.get("https://nominatim.openstreetmap.org/reverse", params=params, verify=True) <-- this works as well
    result = json.loads(response.text)
    return result['address']['country'], result['address']['state'], result['address']['city']

当我从我的企业基础架构中运行相同的代码时（我在代理后面），我在代码中做了一些小的改动，提到代理作为requests方法中的参数：

def reverse_lookup(lat, long):
    cafile=certifi.where()
    proxies = {"https" : "https://myproxy.com"}
    params={'lat' : float(lat), 'lon' : float(long), 'format' : 'json',
            'accept-language' : 'en', 'addressdetails' : 1}
    response = requests.get("https://nominatim.openstreetmap.org/reverse", params=params, verify=cafile, proxies=proxies)
    result = json.loads(response.text)
    return result['address']['country'], result['address']['state'], result['address']['city']

verify=True但是，如果我设置或，它会在不同时间给我这 3 个 SSL 错误中的一个verify=certifi.where()：

  1. CERTIFICATE_VERIFY_FAILED
  2. UNKNOWN_PROTOCOL
  3. WRONG_VERSION_NUMBER

只有当我完全绕过 SSL 验证时才会起作用verify=False

我的问题是：

  1. 由于我是https通过代理发送请求，因此可以绕过 SSL 验证吗？
  2. 在这种情况下，当我在代理后面时，如何使 SSL 验证的默认上下文工作？

任何帮助表示赞赏。在 Python 2.7.15 和 3.9 中测试的代码

4

1 回答 1

1

由于我通过代理发送 https 请求，是否可以绕过 SSL 验证？

您是否需要 HTTPS 提供的保护，即加密应用程序数据（如密码，还有完整的 URL）以防止中间的恶意人员嗅探或修改？如果您不需要保护，则可以绕过证书验证。

在这种情况下，当我在代理后面时，如何使 SSL 验证的默认上下文工作？

代理正在执行 SSL 拦截，并在执行此操作时基于内部 CA 为该站点颁发新证书。如果这是预期的（即不是攻击），那么您需要从代理导入 CA 作为信任的verify='proxy-ca.pem'. 您的 IT 部门应该能够为您提供代理 CA。

verify=True但是，如果我设置或，它会在不同时间给我这 3 个 SSL 错误中的一个verify=certifi.where()：

CERTIFICATE_VERIFY_FAILED
UNKNOWN_PROTOCOL
WRONG_VERSION_NUMBER

它应该只给你CERTIFICATE_VERIFY_FAILED。另外两个错误表明代理设置错误，通常设置https_proxy为https://...而不是http://...（也可以在您的代码中看到）。

于 2021-04-10T17:42:57.103 回答