备选方案

在没有明确的上游指导和建议的情况下，商业重新分发者仍将出于客户利益而做出自己的设计决策。可用的主要方法是

• 继续基于新的 Python 2.7.x 版本进行重新构建，同时除了在 PEP 476 中定义的机制之外，不提供任何其他帮助，以从标准库 HTTPS 客户端中未经检查的主机名迁移到已检查的主机名
• 将默认处理 HTTPS 连接的更改的可用性与从 Python 2 升级到 Python 3 关联起来
• 对于 Linux 发行版供应商，将默认处理 HTTPS 连接的更改的可用性与升级到新的操作系统版本关联起来
• 实施本 PEP 中描述的一个或两个反向移植建议，而不管 PEP 的正式状态如何

功能检测

与该功能相关的 ssl 模块上的标记属性是 ssl._https_verify_certificates 函数本身。

规范

ssl._https_verify_certificates 函数的工作原理如下

def _https_verify_certificates(enable=True):
    """Verify server HTTPS certificates by default?"""
    global _create_default_https_context
    if enable:
        _create_default_https_context = create_default_context
    else:
        _create_default_https_context = _create_unverified_context

如果在没有参数的情况下调用，或者将 enable 设置为真值，则标准库客户端模块随后将默认验证 HTTPS 证书，否则它们将跳过验证。

如果调用时将 enable 设置为假值，则标准库客户端模块随后将默认跳过验证 HTTPS 证书。

安全注意事项

包含此功能将允许安全敏感的应用程序在其代码中包含以下向前兼容的代码段

if hasattr(ssl, "_https_verify_certificates"):
    ssl._https_verify_certificates()

一些开发人员还可以选择使用 ssl._https_verify_certificates(enable=False) 选择退出证书检查。这不会引入任何重大的新安全问题，因为修补受影响的内部 API 已经是可能的。

功能检测

与该功能相关的 ssl 模块上的标记属性为

• ssl._https_verify_envvar 属性，给出影响默认行为的环境变量名称。

这不仅使检测功能的存在（或不存在）变得简单，还使程序化确定相关环境变量名称成为可能。

规范

而不是始终默认使用 ssl.create_default_context，ssl 模块将被修改为

• 在模块首次导入到 Python 进程时读取 PYTHONHTTPSVERIFY 环境变量
• 如果此环境变量存在且设置为 '0'，则将 ssl._create_default_https_context 函数设置为 ssl._create_unverified_context 的别名
• 否则，像往常一样将 ssl._create_default_https_context 函数设置为 ssl.create_default_context 的别名

示例实现

_https_verify_envvar = 'PYTHONHTTPSVERIFY'

def _get_https_context_factory():
    if not sys.flags.ignore_environment:
        config_setting = os.environ.get(_https_verify_envvar)
        if config_setting == '0':
            return _create_unverified_context
    return create_default_context

_create_default_https_context = _get_https_context_factory()

安全注意事项

相对于 Python 3.4.3+ 和 Python 2.7.9->2.7.11 中的行为，此方法确实引入了针对默认安全设置的新降级攻击，可能允许决心足够强的攻击者将 Python 恢复为 CPython 2.7.8 及更早版本中使用的默认行为。

可用攻击面略有增加是以下原因的关键所在

• 安全敏感的应用程序仍应定义自己的 SSL 上下文
• 本 PEP 中描述的迁移功能未添加到 Python 3 中

然而，也值得注意的是，执行此类攻击需要能够在导入ssl模块之前修改 Python 进程的执行环境。结合写入文件系统任何部分（例如/tmp）的能力，任何具有此类访问权限的攻击者都能够修改底层 OpenSSL 实现、动态库加载器和其他可能的安全敏感组件的行为。

与 Python 虚拟环境的交互

默认设置直接从进程环境中读取，因此无论解释器是否在激活的 Python 虚拟环境中运行，其工作方式都相同。

功能检测

没有特定属性指示这种情况适用。相反，它由ssl._https_verify_certificates和ssl._https_verify_envvar属性在名义上早于 Python 2.7.12 的 Python 版本中存在来指示。

规范

实现此反向移植涉及反向移植PEP 466、476 和此 PEP 中的更改，并对ssl模块中PYTHONHTTPSVERIFY环境变量的处理进行以下更改

• 在模块首次导入到 Python 进程时读取 PYTHONHTTPSVERIFY 环境变量
• 如果此环境变量存在并设置为'0'以外的任何值，则将ssl._create_default_https_context函数设置为ssl.create_default_context的别名
• 否则，将ssl._create_default_https_context函数设置为ssl._create_unverified_context的别名

示例实现

_https_verify_envvar = 'PYTHONHTTPSVERIFY'

def _get_https_context_factory():
    if not sys.flags.ignore_environment:
        config_setting = os.environ.get(_https_verify_envvar)
        if config_setting != '0':
            return create_default_context
    return _create_unverified_context

_create_default_https_context = _get_https_context_factory()

def _disable_https_default_verification():
    """Skip verification of HTTPS certificates by default"""
    global _create_default_https_context
    _create_default_https_context = _create_unverified_context

安全注意事项

此更改将严格提升任何当前默认跳过标准库 HTTPS 客户端中证书验证的 Python 版本的安全性。需要考虑的技术权衡主要与PEP 466反向移植的规模有关，而不是与任何安全相关的方面有关。

与 Python 虚拟环境的交互

默认设置直接从进程环境中读取，因此无论解释器是否在激活的 Python 虚拟环境中运行，其工作方式都相同。

功能检测

与该功能相关的 ssl 模块上的标记属性为

_cert_verification_config = '<path to configuration file>'

这不仅使检测功能的存在（或不存在）变得简单，还使程序化确定相关配置文件名称成为可能。

Python 标准库的推荐修改

将PEP 476修改反向移植到更早的点版本的推荐方法是，相对于 Python 2.7.9+ 中实现的默认PEP 476行为，实现以下更改

• 修改ssl模块，以便在模块首次导入到 Python 进程时读取系统范围的配置文件
• 定义一个平台默认行为（验证或不验证 HTTPS 证书），如果此配置文件不存在则使用该行为
• 支持在以下三种操作模式之间进行选择
  • 确保启用 HTTPS 证书验证
  • 确保禁用 HTTPS 证书验证
  • 将决策委托给提供此 Python 版本的重新分发者
• 根据给定的配置设置，将ssl._create_default_https_context函数设置为ssl.create_default_context或ssl._create_unverified_context的别名。

推荐的文件位置

由于 PEP 作者不知道有任何供应商提供针对 Windows、Mac OS X 或 *BSD 系统的长期支持版本，因此此方法目前仅针对 Linux 系统 Python 安装明确定义。

Linux 系统上的推荐配置文件名为/etc/python/cert-verification.cfg。

.cfg文件名扩展名建议与 Python 3 标准库中venv模块使用的pyvenv.cfg保持一致。

推荐的文件格式

配置文件应使用 ConfigParser ini 样式格式，其中包含一个名为[https]的部分，其中包含一个必需的设置verify。

建议的部分名称取自传递给受影响的客户端 API 的“https”URL 模式。

允许的verify值为

• enable：确保默认启用 HTTPS 证书验证
• disable：确保默认禁用 HTTPS 证书验证
• platform_default：将决策委托给提供此特定 Python 版本的重新分发者

如果[https]部分或verify设置丢失，或者verify设置为未知值，则应将其视为配置文件不存在。

示例实现

_cert_verification_config = '/etc/python/cert-verification.cfg'

def _get_https_context_factory():
    # Check for a system-wide override of the default behaviour
    context_factories = {
        'enable': create_default_context,
        'disable': _create_unverified_context,
        'platform_default': _create_unverified_context, # For now :)
    }
    import ConfigParser
    config = ConfigParser.RawConfigParser()
    config.read(_cert_verification_config)
    try:
        verify_mode = config.get('https', 'verify')
    except (ConfigParser.NoSectionError, ConfigParser.NoOptionError):
        verify_mode = 'platform_default'
    default_factory = context_factories.get('platform_default')
    return context_factories.get(verify_mode, default_factory)

_create_default_https_context = _get_https_context_factory()

安全注意事项

此反向移植案例的具体建议旨在适用于特权的安全敏感进程，即使是在以下锁定配置中运行的进程

• 从锁定管理员控制的目录而不是普通用户目录运行（防止基于sys.path[0]的特权提升攻击）
• 使用-E开关运行（防止基于PYTHON*环境变量的特权提升攻击）
• 使用-s开关运行（防止基于用户站点目录的特权提升攻击）
• 使用-S开关运行（防止基于sitecustomize的特权提升攻击）

目的是，当使用此方法时，唯一导致 HTTPS 验证在安装范围内关闭的原因是

• 最终用户正在运行重新分发者提供的 CPython 版本，而不是直接运行上游 CPython
• 该重新分发者已决定提供比上游项目提供的更平滑的默认验证 HTTPS 证书的迁移路径
• 重新分发者或本地基础设施管理员已确定保留默认的 2.7.9 之前的行为（至少暂时如此）是合适的

使用管理员控制的配置文件而不是环境变量具有提供更平滑的迁移路径的基本功能，即使对于使用-E开关运行的应用程序也是如此。

与 Python 虚拟环境的交互

此设置由解释器安装限定，并影响使用该解释器的所有 Python 进程，无论解释器是否在激活的 Python 虚拟环境中运行。

此建议的来源

此建议基于 Red Hat Enterprise Linux 7.2 采用的反向移植方法，如本 PEP 的 2015 年 7 月原始草案中发布并在此知识库文章中详细描述。Red Hat 为 Python 2.7.5 实现此反向移植的补丁可以在CentOS git 存储库中找到。

示例实现

_https_verify_envvar = 'PYTHONHTTPSVERIFY'
_cert_verification_config = '/etc/python/cert-verification.cfg'

def _get_https_context_factory():
    # Check for an environmental override of the default behaviour
    if not sys.flags.ignore_environment:
        config_setting = os.environ.get(_https_verify_envvar)
        if config_setting is not None:
            if config_setting == '0':
                return _create_unverified_context
            return create_default_context

    # Check for a system-wide override of the default behaviour
    context_factories = {
        'enable': create_default_context,
        'disable': _create_unverified_context,
        'platform_default': _create_unverified_context, # For now :)
    }
    import ConfigParser
    config = ConfigParser.RawConfigParser()
    config.read(_cert_verification_config)
    try:
        verify_mode = config.get('https', 'verify')
    except (ConfigParser.NoSectionError, ConfigParser.NoOptionError):
        verify_mode = 'platform_default'
    default_factory = context_factories.get('platform_default')
    return context_factories.get(verify_mode, default_factory)

_create_default_https_context = _get_https_context_factory()