ChatGPT SSL错误排查指南：从原理到实战解决方案

1次阅读

没有评论

共计 2234 个字符，预计需要花费 6 分钟才能阅读完成。

使用 Wireshark 抓取到 SSL 握手失败时，通常会观察到以下关键帧序列：

Client Hello：客户端发送支持的 TLS 版本和加密套件列表
Server Hello：服务端返回选定的协议版本和加密方式
Alert (Level: Fatal, Description: Certificate Unknown)：证书验证失败终止握手

证书链校验：从终端证书回溯到可信根证书，需满足：
证书在有效期内
签发者 CA 在系统信任库中
域名匹配（检查 SAN 扩展）
SNI 机制：现代 TLS 要求客户端在 Client Hello 中指定目标域名，解决单 IP 多证书问题

Windows：使用 CertMgr 管理的证书存储
Linux：通常依赖 /etc/ssl/certs 目录
Python：通过 certifi 包提供 CA 证书，默认路径可通过 certifi.where() 获取

企业代理常会进行 SSL 中间人解密，此时会出现：

证书颁发者非公共 CA
证书主题包含代理设备信息
缺少关键扩展字段（如 OCSP Must-Staple）

import requests

try:
    response = requests.get('https://api.openai.com', 
                           verify=False)  # 安全警告：禁用证书验证
except requests.exceptions.SSLError as e:
    print(f"SSL 错误: {e}")

风险提示：此方法会使通信面临中间人攻击风险

更新证书包（Ubuntu 示例）：

sudo apt update && sudo apt install --only-upgrade ca-certificates

指定自定义 CA 包路径：

import os
import requests

os.environ['REQUESTS_CA_BUNDLE'] = '/path/to/custom/cacert.pem'
response = requests.get('https://api.openai.com')

import time
import random
from requests.adapters import HTTPAdapter
from urllib3.util.retry import Retry

retry_strategy = Retry(
    total=3,
    backoff_factor=1,
    status_forcelist=[500, 502, 503, 504],
    allowed_methods=["GET", "POST"]
)

session = requests.Session()
adapter = HTTPAdapter(max_retries=retry_strategy)
session.mount("https://", adapter)

# 使用指数退避
for attempt in range(3):
    try:
        response = session.get('https://api.openai.com')
        break
    except requests.exceptions.SSLError as e:
        wait_time = (2 ** attempt) + random.uniform(0, 1)
        time.sleep(wait_time)

import hashlib
from requests import Session

class PinnedAdapter(HTTPAdapter):
    def __init__(self, fingerprint):
        self.fingerprint = fingerprint
        super().__init__()

    def cert_verify(self, conn, url, verify, cert):
        super().cert_verify(conn, url, verify, cert)
        cert = conn.sock.getpeercert(binary_form=True)
        cert_hash = hashlib.sha256(cert).hexdigest()
        if cert_hash != self.fingerprint:
            raise SSLError(f"证书指纹不匹配: {cert_hash}")

# 使用示例
session = Session()
session.mount(
    'https://api.openai.com', 
    PinnedAdapter('a1b2c3...')  # 预置合法证书指纹
)