备选方案

在缺乏明确的上游指导和建议的情况下，商业再分发商仍将根据其客户的利益做出自己的设计决策。主要可用的方法有

• 继续基于新的 Python 2.7.x 版本，除了PEP 476中定义的机制外，不提供任何额外帮助，以实现在标准库 HTTPS 客户端中从未检查主机名到检查主机名的迁移
• 将 HTTPS 连接的默认处理方式的更改与从 Python 2 升级到 Python 3 挂钩
• 对于 Linux 发行版供应商，将 HTTPS 连接的默认处理方式的更改与升级到新的操作系统版本挂钩
• 实施本 PEP 中描述的一个或两个反向移植建议，无论本 PEP 的正式状态如何

特性检测

ssl 模块上与此功能相关的标记属性是 ssl._https_verify_certificates 函数本身。

规范

ssl._https_verify_certificates 函数将按如下方式工作

def _https_verify_certificates(enable=True):
    """Verify server HTTPS certificates by default?"""
    global _create_default_https_context
    if enable:
        _create_default_https_context = create_default_context
    else:
        _create_default_https_context = _create_unverified_context

如果调用时不带参数，或者将 enable 设置为真值，则标准库客户端模块将默认验证 HTTPS 证书，否则将跳过验证。

如果调用时将 enable 设置为假值，则标准库客户端模块将默认跳过验证 HTTPS 证书。

安全注意事项

包含此功能将允许安全敏感的应用程序在其代码中包含以下前向兼容的代码片段

if hasattr(ssl, "_https_verify_certificates"):
    ssl._https_verify_certificates()

一些开发者也可能选择使用 ssl._https_verify_certificates(enable=False) 来选择不进行证书检查。这不会引入任何主要的新的安全问题，因为对受影响的内部 API 进行猴子补丁已经是可能的。

特性检测

ssl 模块上与此功能相关的标记属性是

• ssl._https_verify_envvar 属性，表示影响默认行为的环境变量的名称

这不仅使得检测功能的存在（或不存在）变得简单，还使得以编程方式确定相关环境变量名称成为可能。

规范

不再总是默认使用 ssl.create_default_context，ssl 模块将被修改为

• 当模块首次导入到 Python 进程时读取 PYTHONHTTPSVERIFY 环境变量
• 如果此环境变量存在且设置为 '0'，则将 ssl._create_default_https_context 函数设置为 ssl._create_unverified_context 的别名
• 否则，将 ssl._create_default_https_context 函数照常设置为 ssl.create_default_context 的别名

示例实现

_https_verify_envvar = 'PYTHONHTTPSVERIFY'

def _get_https_context_factory():
    if not sys.flags.ignore_environment:
        config_setting = os.environ.get(_https_verify_envvar)
        if config_setting == '0':
            return _create_unverified_context
    return create_default_context

_create_default_https_context = _get_https_context_factory()

安全注意事项

相对于 Python 3.4.3+ 和 Python 2.7.9->2.7.11 中的行为，这种方法确实引入了一种新的针对默认安全设置的降级攻击，可能允许足够坚定的攻击者将 Python 恢复到 CPython 2.7.8 及更早版本中使用的默认行为。

攻击面的轻微增加是以下关键原因

• 安全敏感的应用程序仍应定义自己的 SSL 上下文
• 本 PEP 中描述的迁移功能未添加到 Python 3

然而，值得记住的是，进行此类攻击需要能够在导入 ssl 模块之前修改 Python 进程的执行环境。结合写入文件系统任何部分（如 /tmp）的能力，任何具有此类访问权限的攻击者已经能够修改底层 OpenSSL 实现、动态库加载器以及其他可能对安全性敏感的组件的行为。

与 Python 虚拟环境的交互

默认设置直接从进程环境中读取，因此无论解释器是否在已激活的 Python 虚拟环境中运行，其工作方式都相同。

特性检测

没有特定的属性指示这种情况适用。相反，它由 ssl._https_verify_certificates 和 ssl._https_verify_envvar 属性存在于名义上早于 Python 2.7.12 的 Python 版本中来指示。

规范

实现此反向移植涉及反向移植 PEP 466、476 和此 PEP 中的更改，并对 ssl 模块中 PYTHONHTTPSVERIFY 环境变量的处理进行以下更改

• 当模块首次导入到 Python 进程时读取 PYTHONHTTPSVERIFY 环境变量
• 如果此环境变量存在且设置为除 '0' 以外的任何值，则将 ssl._create_default_https_context 函数设置为 ssl.create_default_context 的别名
• 否则，将 ssl._create_default_https_context 函数设置为 ssl._create_unverified_context 的别名

示例实现

_https_verify_envvar = 'PYTHONHTTPSVERIFY'

def _get_https_context_factory():
    if not sys.flags.ignore_environment:
        config_setting = os.environ.get(_https_verify_envvar)
        if config_setting != '0':
            return create_default_context
    return _create_unverified_context

_create_default_https_context = _get_https_context_factory()

def _disable_https_default_verification():
    """Skip verification of HTTPS certificates by default"""
    global _create_default_https_context
    _create_default_https_context = _create_unverified_context

安全注意事项

此更改对于任何当前默认跳过标准库 HTTPS 客户端中证书验证的 Python 版本来说都将是一个严格的安全升级。需要考虑的技术权衡主要与所需的PEP 466反向移植的规模有关，而不是与任何安全相关的问题有关。

与 Python 虚拟环境的交互

默认设置直接从进程环境中读取，因此无论解释器是否在已激活的 Python 虚拟环境中运行，其工作方式都相同。

特性检测

ssl 模块上与此功能相关的标记属性是

_cert_verification_config = '<path to configuration file>'

这不仅使得检测功能的存在（或不存在）变得简单，还使得以编程方式确定相关配置文件名称成为可能。

对 Python 标准库的推荐修改

将 PEP 476 修改向后移植到早期小版本点的推荐方法是实现相对于 Python 2.7.9+ 中实现的默认 PEP 476 行为的以下更改

• 修改 ssl 模块，使其在首次导入到 Python 进程时读取系统范围的配置文件
• 定义一个平台默认行为（验证或不验证 HTTPS 证书），以便在配置文件不存在时使用
• 支持在以下三种操作模式之间进行选择
  • 确保启用 HTTPS 证书验证
  • 确保禁用 HTTPS 证书验证
  • 将决定权委托给提供此 Python 版本的再分发商
• 根据给定的配置设置，将 ssl._create_default_https_context 函数设置为 ssl.create_default_context 或 ssl._create_unverified_context 的别名。

推荐的文件位置

由于 PEP 作者不了解任何为 Windows、Mac OS X 或 *BSD 系统提供长期支持版本的供应商，因此此方法目前仅专门为 Linux 系统 Python 安装定义。

在 Linux 系统上推荐的配置文件名为 /etc/python/cert-verification.cfg。

推荐使用 .cfg 文件扩展名，以与 Python 3 标准库中 venv 模块使用的 pyvenv.cfg 保持一致。

推荐的文件格式

配置文件应使用 ConfigParser ini-style 格式，其中包含一个名为 [https] 的单一部分，该部分包含一个必需的设置 verify。

建议的部分名称取自传递给受影响客户端 API 的“https”URL 方案。

verify 的允许值为

• enable: 确保默认启用 HTTPS 证书验证
• disable: 确保默认禁用 HTTPS 证书验证
• platform_default: 将决定权委托给提供此特定 Python 版本的再分发商

如果缺少 [https] 部分或 verify 设置，或者 verify 设置为未知值，则应将其视为配置文件不存在。

示例实现

_cert_verification_config = '/etc/python/cert-verification.cfg'

def _get_https_context_factory():
    # Check for a system-wide override of the default behaviour
    context_factories = {
        'enable': create_default_context,
        'disable': _create_unverified_context,
        'platform_default': _create_unverified_context, # For now :)
    }
    import ConfigParser
    config = ConfigParser.RawConfigParser()
    config.read(_cert_verification_config)
    try:
        verify_mode = config.get('https', 'verify')
    except (ConfigParser.NoSectionError, ConfigParser.NoOptionError):
        verify_mode = 'platform_default'
    default_factory = context_factories.get('platform_default')
    return context_factories.get(verify_mode, default_factory)

_create_default_https_context = _get_https_context_factory()

安全注意事项

此反向移植案例的具体建议旨在适用于特权、安全敏感进程，即使是那些在以下锁定配置中运行的进程

• 从锁定的管理员控制目录而不是普通用户目录运行（防止基于 sys.path[0] 的权限提升攻击）
• 使用 -E 开关运行（防止基于 PYTHON* 环境变量的权限提升攻击）
• 使用 -s 开关运行（防止基于用户站点目录的权限提升攻击）
• 使用 -S 开关运行（防止基于 sitecustomize 的权限提升攻击）

意图是，在使用此方法时，安装范围内的 HTTPS 验证被关闭的**唯一**原因是

• 终端用户正在运行再分发商提供的 CPython 版本，而不是直接运行上游 CPython
• 该再分发商已决定提供比上游项目更平滑的迁移路径，以默认验证 HTTPS 证书
• 再分发商或本地基础设施管理员已确定保留默认的 2.7.9 之前的行为是适当的（至少暂时是）

使用管理员控制的配置文件而不是环境变量具有提供更平滑迁移路径的基本功能，即使对于使用 -E 开关运行的应用程序也是如此。

与 Python 虚拟环境的交互

此设置受解释器安装的范围限制，并影响所有使用该解释器的 Python 进程，无论解释器是否在已激活的 Python 虚拟环境中运行。

此推荐的来源

此建议基于 Red Hat Enterprise Linux 7.2 所采用的向后移植方法，该方法发布于本 PEP 的 2015 年 7 月原始草案中，并在此知识库文章中详细描述。Red Hat 为 Python 2.7.5 实现此向后移植的补丁可在 CentOS git 仓库中找到。

示例实现

_https_verify_envvar = 'PYTHONHTTPSVERIFY'
_cert_verification_config = '/etc/python/cert-verification.cfg'

def _get_https_context_factory():
    # Check for an environmental override of the default behaviour
    if not sys.flags.ignore_environment:
        config_setting = os.environ.get(_https_verify_envvar)
        if config_setting is not None:
            if config_setting == '0':
                return _create_unverified_context
            return create_default_context

    # Check for a system-wide override of the default behaviour
    context_factories = {
        'enable': create_default_context,
        'disable': _create_unverified_context,
        'platform_default': _create_unverified_context, # For now :)
    }
    import ConfigParser
    config = ConfigParser.RawConfigParser()
    config.read(_cert_verification_config)
    try:
        verify_mode = config.get('https', 'verify')
    except (ConfigParser.NoSectionError, ConfigParser.NoOptionError):
        verify_mode = 'platform_default'
    default_factory = context_factories.get('platform_default')
    return context_factories.get(verify_mode, default_factory)

_create_default_https_context = _get_https_context_factory()