如何配置Python以忽略主机名验证？

Question

我们在Python中相对较新，因此可能是问题太简单了。我们正在使用Python版本2.7.15。

我们试图在TLS上使用Python失败。

这是我们的代码：

import ssl,socket
import urllib2

context = ssl.SSLContext(ssl.PROTOCOL_TLS)
context.verify_mode = ssl.CERT_REQUIRED
context.check_hostname = False
context.load_verify_locations("/py-test/python/bin/certificate.pem")
url = "https://10.0.0.12"
request = urllib2.Request(url)
websocket = urllib2.urlopen(request,None,None,None,None,None,context)
pages=websocket.readlines()
print pages

如您所见，我们已经配置 context.check_hostname = False

不幸的是，它失败并带有以下异常

Traceback (most recent call last):
 File "./test.py", line 11, in <module>
   websocket = urllib2.urlopen(request,None,None,None,None,None,context)
 File "/py-test/python/lib/python2.7/urllib2.py", line 154, in urlopen
   return opener.open(url, data, timeout)
 File "/py-test/python/lib/python2.7/urllib2.py", line 429, in open
   response = self._open(req, data)
 File "/py-test/python/lib/python2.7/urllib2.py", line 447, in _open
   '_open', req)
 File "/py-test/python/lib/python2.7/urllib2.py", line 407, in _call_chain
   result = func(*args)
 File "/py-test/python/lib/python2.7/urllib2.py", line 1241, in https_open
   context=self._context)
 File "/py-test/python/lib/python2.7/urllib2.py", line 1198, in do_open
   raise URLError(err)
urllib2.URLError: <urlopen error [SSL: CERTIFICATE_VERIFY_FAILED] certificate verify failed (_ssl.c:726)>

绝对是主机名验证。如果我们使用正确的证书和正确的主机名，则请求成功。

如果我们使用错误的证书，它将失败，并带有以下异常。

File "./test.py", line 8, in <module>
   context.load_verify_locations("/py-test/python/bin/certificate_bad.pem")
ssl.SSLError: [X509] PEM lib (_ssl.c:3027)

因此，我们需要帮助来了解如何配置Python以忽略主机名验证。

还有一个问题（可以在单独的线程中提出）。

我们在Python中是否有一个包含所有已知CA的trustore文件？就像cacerts.jks在Java中一样。在哪里可以找到托管人？

添加

我们“想验证证书是否由有效的CA签署”，但是“我们不在乎它是否标识您实际连接的站点”。

我们需要帮助来配置Python以忽略主机名验证吗？我们的代码有什么错误？我们已尝试根据文档https://docs.python.org/2/library/ssl.html创建代码

新增2

我们投入了大量时间，但不幸的是我们没有取得进展。

有人在Python 2.7中有可用的示例吗？我的意思是，如果您使用其他URL访问，然后出现在证书中，则该代码有效。可能无法将Python 2.7配置为忽略主机名验证吗？

可能是我们的问题吗？我们在CentOS 6上使用它。它可能与OpenSSL有关吗？我们使用最新版本的openssl-1.0.1e-57.el6.x86_64。也许我们应该升级到Python 3.x？

Answer 1

import ssl
ssl._create_default_https_context = ssl._create_unverified_context

默认情况下强制 python 跳过证书验证。希望能帮助到你。