上一篇
https为何能忽略证书？https忽略证书安全吗
HTTPS 协议本身并不能、也不应该“忽略”证书验证。 相反，HTTPS 的核心安全机制正是依赖于严格的证书验证。
在开发调试或特定安全测试场景中，开发者或用户可能会遇到“忽略证书错误”的情况，这通常不是协议的设计初衷，而是由于配置不当、信任链缺失或人为绕过安全机制导致的，以下将详细解析 HTTPS 证书验证机制、为何会出现“忽略证书”的现象,以及这种行为的巨大风险。
HTTPS 证书验证的核心机制
HTTPS（HyperText Transfer Protocol Secure）是在 HTTP 基础上通过 TLS/SSL 协议进行加密通信，其安全性建立在公钥基础设施（PKI）之上,证书验证是握手过程中的关键步骤。
当客户端（如浏览器）连接服务器时,会执行以下验证流程：
- 证书链验证：客户端检查服务器提供的证书是否由受信任的根证书颁发机构（CA）签发。
- 域名匹配：确保证书中的 Common Name (CN) 或 Subject Alternative Name (SAN) 与用户访问的域名完全一致。
- 有效期检查：确保证书在有效期内,未被吊销。
- 签名验证：使用 CA 的公钥验证证书签名的真实性,确保证书未被改动。
如果上述任何一步失败，标准的 HTTPS 连接应当被中断,并显示安全警告。
为什么会出现“忽略证书”的现象？
所谓“忽略证书”，通常指以下几种情况，它们并非协议特性,而是人为或配置层面的结果：
开发调试环境（自签名证书）
在本地开发阶段，开发者常使用自签名证书（Self-Signed Certificate），由于该证书不是由公共受信任的 CA 签发，浏览器会报错，为了方便调试，开发者可能在代码中禁用验证,或在浏览器中手动添加例外。
企业内网环境（私有 CA）
大型企业或政府机构通常使用内部私有 CA 签发证书，普通用户的浏览器或操作系统未安装该私有 CA 的根证书，因此会提示证书不受信任，若管理员未将根证书分发到所有终端，用户或程序可能会选择“忽略”错误以继续访问。
代码层面的不安全配置
在编程中（如使用 Python 的 requests 库、Java 的 HttpClient 等）,开发者可能为了快速测试而显式关闭证书验证。
中间人攻破（MITM）
攻破者通过拦截流量并杜撰证书，如果客户端未正确验证证书，攻破者即可解密和改动数据，这种情况下的“忽略”是被动且危险的。
不同场景下“忽略证书”的实现方式与风险对比
| 场景 | 实现方式/原因 | 安全风险等级 | 说明 |
|---|---|---|---|
| 浏览器手动例外 | 用户点击“高级”->“继续前往（不安全）” | 高 | 用户明知风险仍继续，易受钓鱼攻破。 |
| 代码禁用验证 | 如 Python: requests.get(url, verify=False) | 极高 | 完全暴露于中间人攻破，数据明文泄露。 |
| 安装私有根证书 | 系统/浏览器信任内部 CA | 低（配置正确时） | 企业内网标准做法，需确保根证书安全分发。 |
| 证书过期/域名不匹配 | 未更新证书或配置错误 | 中 | 应修复证书，而非忽略，忽略会导致连接失败或警告。 |
为什么不应忽略证书验证？
- 身份杜撰风险：证书验证的核心目的是确认“你正在与真正的目标服务器通信”，忽略验证意味着攻破者可以伪装成任何网站（如银行、邮箱）,窃取用户凭证。
- 数据泄露：HTTPS 的加密通道依赖于握手过程中交换的密钥，如果证书验证被绕过，攻破者可以插入中间人,解密所有传输数据。
- 合规性问题：大多数安全标准（如 PCI DSS、GDPR）要求使用有效的、受信任的证书,忽略验证可能导致法律合规风险。
正确做法建议
- 生产环境：始终使用由公共受信任 CA 签发的有效证书（如 Let’s Encrypt、DigiCert 等）。
- 开发环境：使用工具（如 mkcert）生成本地受信任的自签名证书，并将其添加到操作系统的信任存储中,而非在代码中禁用验证。
- 企业内网：将内部 CA 的根证书预装到所有员工设备和浏览器中。
- 代码规范：永远不要在生产代码中设置 verify=False 或等效的忽略选项。
相关问题与解答
问题 1：在 Python 中使用 requests 库时，为什么有时需要设置 verify=False？这样做有什么后果？
解答：
在 Python 的 requests 库中，设置 verify=False 是为了禁用 SSL 证书验证,这通常在以下情况被使用：
- 测试环境使用自签名证书,且未将证书添加到系统信任库。
- 内部网络使用私有 CA，且客户端未安装该 CA 证书。
- 快速原型开发,忽略安全性以加快调试速度。
后果：
- 安全风险：连接不再安全，易受中间人攻破（MITM），攻破者可以窃听、改动或载入恶意内容到通信中。
- 数据泄露：敏感信息（如密码、API 密钥）可能被明文截获。
- 最佳实践：仅在受控的开发/测试环境中临时使用，并应在生产环境中通过安装正确的证书或使用 verify='path/to/cert.pem' 指定证书路径来恢复验证。
问题 2：为什么浏览器会显示“您的连接不是私密连接”或“证书不受信任”？如何正确解决？
解答：
浏览器显示此类错误通常是因为证书验证失败,常见原因包括：
- 证书过期：服务器证书已超过有效期。
- 域名不匹配：证书中的域名与访问的 URL 不一致。
- 自签名证书：证书由非公共 CA 签发,浏览器不信任。
- 吊销状态：证书已被 CA 吊销（通过 CRL 或 OCSP 检查）。
- 中间人拦截：网络中存在代理或防火墙拦截并替换了证书。
正确解决方法：
- 对于用户：不要随意点击“继续”，确认网站是否可信，如果是银行或常用网站，检查 URL 是否正确,或联系网站管理员。
- 对于网站管理员：
- 确保证书在有效期内。
- 确保证书包含正确的域名（SAN）。
- 使用受信任的 CA 签发证书。
- 确保证书链完整（包括中间证书）。
- 检查服务器配置,确保正确传递中间证书。
