上一篇
https忽略证书怎么设置？https忽略证书报错解决方法
在网络安全和开发领域，“忽略证书”通常指的是在发起 HTTPS 请求时，客户端（如浏览器、Postman、Python 脚本等）选择不验证服务器提供的 SSL/TLS 证书的有效性，虽然这在开发调试阶段非常常见,但在生产环境中这样做会带来严重的安全风险。
以下是对“忽略证书”机制的详细解析，包括其原理、常见场景、实施方法以及潜在风险。
核心概念：什么是 SSL/TLS 证书验证？
HTTPS 的核心在于加密和身份认证，当客户端连接服务器时，服务器会发送其 SSL/TLS 证书,客户端需要执行以下验证步骤：
- 信任链验证：证书是否由受信任的根证书颁发机构（CA）签发？
- 域名匹配：证书中的域名是否与当前访问的域名一致？
- 有效期检查：证书是否在有效期内？
- 吊销状态检查：证书是否已被撤销（CRL/OCSP）？
“忽略证书”即跳过上述所有验证步骤，强制建立连接。
常见应用场景
| 场景 | 描述 | 风险等级 | 建议 |
|---|---|---|---|
| 本地开发调试 | 使用自签名证书（Self-Signed Certificate）在 localhost 或内网测试 API。 | 低 | 仅限开发环境，切勿用于生产。 |
| 内部系统测试 | 企业内部使用私有 CA 签发证书，但测试环境未配置信任该 CA。 | 中 | 应在测试环境配置信任链，而非忽略验证。 |
| 遗留系统兼容 | 连接使用过期证书或弱加密算法的老旧服务器。 | 高 | 应尽快升级服务器证书，而非长期忽略验证。 |
| 中间人攻破 | 恶意攻破者拦截通信并杜撰证书，受害者忽略警告继续连接。 | 极高 | 绝对禁止，这会导致数据泄露。 |
如何在不同环境中忽略证书验证
浏览器端
大多数现代浏览器（Chrome, Firefox, Edge）在遇到无效证书时会显示全屏警告页面。
- 操作：点击“高级” -> “继续前往（不安全）”。
- 注意：浏览器地址栏会出现红色警告标志,明确提示连接不安全。
cURL 命令行工具
在 Linux/macOS 终端中，可以使用 -k 或 --insecure 参数。
curl -k https://example.com # 或 curl --insecure https://example.com
Python (Requests 库)
在代码中设置 verify=False 参数。
import requests # 警告：这会禁用 SSL 验证，可能引发 InsecureRequestWarning response = requests.get('https://example.com', verify=False)
建议：在代码中捕获警告，或仅在测试环境中使用。
Java (OkHttp / HttpClient)
在 Java 中，通常需要自定义 TrustManager 来接受所有证书，或者使用 SSLContext 初始化不验证的上下文。
Postman
在 Postman 设置中：
- 进入 Settings -> General。
- 关闭 SSL certificate verification 开关。
安全风险详解
忽略证书验证会破坏 HTTPS 提供的三大安全支柱：
- 机密性丧失：虽然连接可能仍被加密（取决于服务器配置），但由于未验证身份，加密通道可能被中间人（MITM）建立，攻破者可以解密并读取敏感数据（如密码、信用卡号）。
- 完整性破坏：攻破者可以改动传输中的数据,而客户端无法察觉。
- 身份杜撰：客户端无法确认它正在与真正的服务器通信,而不是与一个假冒的服务器通信。
典型攻破场景：
用户在公共 Wi-Fi 下访问银行网站，攻破者通过 ARP 欺骗或 DNS 截持将用户重定向到恶意服务器，如果用户忽略了证书警告,攻破者即可窃取登录凭据。
最佳实践与替代方案
| 做法 | 说明 |
|---|---|
| 使用自签名证书的正确方式 | 在开发环境中，将自签名证书添加到操作系统的“受信任的根证书颁发机构”存储中，而不是忽略验证。 |
| 使用 Let’s Encrypt | 对于生产环境，使用免费的、自动续期的 CA 证书（如 Let’s Encrypt），确保证书有效且受信任。 |
| 内部 CA 部署 | 在企业内部，部署私有 CA，并将根证书分发到所有客户端设备，实现自动信任。 |
| Pin 证书（Certificate Pinning） | 在移动应用或高安全要求的应用中，将特定的证书公钥硬编码在应用中，只允许该证书连接。 |
| 环境变量控制 | 在 CI/CD 流水线中，通过环境变量（如 NODE_TLS_REJECT_UNAUTHORIZED=0）仅在测试阶段禁用验证，生产环境强制开启。 |
相关问题与解答
问题 1：为什么在 Python 中使用 requests.get(url, verify=False) 时会出现 InsecureRequestWarning？如何正确抑制它？
解答：
出现 InsecureRequestWarning 是因为 requests 库检测到您禁用了 SSL 验证，这是一种潜在的安全风险,因此库作者故意发出警告以提醒开发者。
要正确抑制该警告，不应简单地忽略它，而应在代码中明确处理，您可以使用 warnings 模块来过滤掉特定的警告：
import requests import urllib3 import warnings # 方法一：全局禁用警告（不推荐用于生产代码） warnings.filterwarnings("ignore", message="Unverified HTTPS request") # 方法二：更推荐的方式，在代码块中临时禁用 with warnings.catch_warnings(): warnings.simplefilter("ignore") response = requests.get('https://example.com', verify=False)
注意：即使抑制了警告，安全风险依然存在,请确保此代码仅在受控的开发或测试环境中运行。
问题 2：如果我的服务器使用的是自签名证书，如何让 Postman 在不全局禁用验证的情况下信任该证书？
解答：
Postman 允许为特定请求或集合导入自定义的 CA 证书，从而避免全局禁用 SSL 验证带来的安全风险。
操作步骤如下：
- 导出服务器的自签名证书文件（通常为 .crt 或 .pem 格式）。
- 在 Postman 中，点击左上角的 Settings (齿轮图标)。
- 选择 General 标签页。
- 找到 SSL certificate verification 部分，确保它是开启状态（即默认行为）。
- 点击 Import Certificate 或 Add Certificate（具体名称可能随版本略有不同，通常在“Certificates”或“CA Certificates”部分）。
- 上传您的 .crt 或 .pem 文件。
- 在发起请求时，确保该请求属于已导入证书的作用域，或者在请求的 Authorization 或 Pre-request Script 中指定使用该证书。
通过这种方式，Postman 只会信任您明确导入的自签名证书，而其他无效证书仍会被拒绝,从而提高了安全性。
