>适用场景：在 Windows + `uv` 管理的 Python 环境中，用 `openai` SDK（基于 `httpx`）请求 Azure OpenAI 或其他 HTTPS 服务时，报错：
``` bash
[SSL: CERTIFICATE_VERIFY_FAILED] certificate verify failed: unable to get local issuer certificate
```

**概述**
- 问题成因：企业网络（例如 Zscaler、FortiGate、BlueCoat 等）可能对 TLS 流量做中间人（MITM）拦截并用内部 CA 对外部站点重新签发证书。Python 的默认 CA 捆绑（例如 `certifi`）不会包含该企业内部 CA，从而导致验证失败。
- 目标：在不禁用 TLS 校验的前提下，让 Python/httpx/OpenAI 客户端信任企业 CA，从而恢复连接。


----
**一、快速诊断（在 `uv` 管理的环境中）**
1. 在项目目录下运行（Windows cmd）：

```bash
cd /d F:\WorkSpace\AI\Azure\Demo
uv run python -c "import ssl, certifi, os; import openai, httpx; print('ssl.get_default_verify_paths() =', ssl.get_default_verify_paths()); print('certifi.where() =', certifi.where()); print('SSL_CERT_FILE =', os.environ.get('SSL_CERT_FILE')); print('REQUESTS_CA_BUNDLE =', os.environ.get('REQUESTS_CA_BUNDLE')); print('openai.__version__=', getattr(openai,'__version__',None)); print('httpx.__version__=', getattr(httpx,'__version__',None))"
```
若命令不方便，你可以把下面的诊断脚本 `uv_diag.py` 放到项目根并用 `uv run python uv_diag.py` 运行（脚本会打印相同信息）：

``` python
# uv_diag.py
import ssl, certifi, os
import openai, httpx
print('ssl_get_default_verify_paths =', ssl.get_default_verify_paths())
print('certifi_where =', certifi.where())
print('SSL_CERT_FILE_env =', os.environ.get('SSL_CERT_FILE'))
print('REQUESTS_CA_BUNDLE_env =', os.environ.get('REQUESTS_CA_BUNDLE'))
print('openai_version =', getattr(openai, '__version__', None))
print('httpx_version =', getattr(httpx, '__version__', None))
```
如果诊断显示远端证书由企业中间人签发（例如在证书的 `Issuer` 或 `Subject` 中看到 `Zscaler`、公司域名、或其他内部 CA），则需要让 Python 信任该 CA。


----
**二、抓取远端证书（供临时调试）**
>仅用于诊断或临时调试。正确做法是信任“根/中间 CA”，而非只信任单个服务器证书。

把下面脚本 `uv_get_remote_cert.py` 放到项目根并运行：
```python
# uv_get_remote_cert.py
import socket, ssl
hostname = "your-hostname.example.com" &nbsp;# 替换为出错时的目标主机名
port = 443
ctx = ssl.create_default_context()
ctx.check_hostname = False
ctx.verify_mode = ssl.CERT_NONE
with socket.create_connection((hostname, port), timeout=10) as sock:
 &nbsp; &nbsp;with ctx.wrap_socket(sock, server_hostname=hostname) as ss:
 &nbsp; &nbsp; &nbsp; &nbsp;der = ss.getpeercert(binary_form=True)
 &nbsp; &nbsp; &nbsp; &nbsp;pem = ssl.DER_cert_to_PEM_cert(der)
 &nbsp; &nbsp; &nbsp; &nbsp;print(pem)
```
运行：
```bash
uv run python uv_get_remote_cert.py
```
把输出的 `-----BEGIN CERTIFICATE-----` 到 `-----END CERTIFICATE-----` 保存为一个文件（例如 `added_server_cert.pem`）。


----
**三、两种修复策略（按推荐顺序）**
方法 A（推荐，长期可控）：获取并信任公司根/中间 CA（由 IT 提供）
- 步骤概述：向 IT 要到 `corp_ca.pem`（PEM 格式的根或中间 CA），然后合并到一个证书捆绑文件 `combined_cacert.pem`，再让 Python 使用该捆绑。该方式不修改第三方包，容易回滚。

具体命令（Windows cmd）：
```bash
cd /d F:\WorkSpace\AI\Azure\Demo
copy .venv\Lib\site-packages\certifi\cacert.pem combined_cacert.pem
type C:\path\to\corp_ca.pem >> combined_cacert.pem
set "REQUESTS_CA_BUNDLE=F:\WorkSpace\AI\Azure\Demo\combined_cacert.pem"
uv run main.py
```
或单行运行（临时环境变量，仅对该命令生效）：
```bash
cd /d F:\WorkSpace\AI\Azure\Demo && set "REQUESTS_CA_BUNDLE=F:\WorkSpace\AI\Azure\Demo\combined_cacert.pem" && uv run main.py
```
PowerShell：
```bash
Set-Item -Path Env:REQUESTS_CA_BUNDLE -Value 'F:\WorkSpace\AI\Azure\Demo\combined_cacert.pem'
uv run main.py
```
优点：不修改第三方包文件、可版本控制 `combined_cacert.pem`、可在 CI 环境中一致使用。
方法 B（可行但需谨慎）：把公司 CA 导入 Windows 受信任根证书存储（需要管理员）
- 如果 IT 建议并允许，可将根证书导入 `LocalMachine\Root`，系统范围内信任。注意：某些 Python/OpenSSL 配置可能仍使用 `certifi`，不会自动读取 Windows 证书。

导出/获取公司 CA（PowerShell）示例：
```bash
# 列出可能匹配关键字的证书
Get-ChildItem Cert:\CurrentUser\Root | Where-Object { $_.Subject -like "*Zscaler*" } | Format-List Subject, Thumbprint

# 导出（替换 THUMBPRINT）
$cert = Get-ChildItem Cert:\CurrentUser\Root | Where-Object { $_.Thumbprint -eq "THUMBPRINT" }
Export-Certificate -Cert $cert -FilePath C:\Temp\corp_ca.pem
```
把 `corp_ca.pem` 提供给开发机或合并到 `combined_cacert.pem`。
方法 C（调试用，强烈不推荐在生产使用）
- 通过修改请求禁用 SSL 验证（`verify=False`）或设置 `SSL_CERT_FILE` 指向不存在/空值。仅用于快速排查。


----
**四、如果你没有公司 CA（临时调试流程）**
- 你可以把抓到的服务器证书 `added_server_cert.pem` 追加到 `certifi` 的 cacert（或创建 `combined_cacert.pem` 并使用 `REQUESTS_CA_BUNDLE` 指向它）。

示例：
```bash
# 备份 certifi 捆绑
copy .venv\Lib\site-packages\certifi\cacert.pem .venv\Lib\site-packages\certifi\cacert.pem.bak
# 追加单个服务器证书（调试用）
type added_server_cert.pem >> .venv\Lib\site-packages\certifi\cacert.pem
# 或不修改原文件，创建 combined
copy .venv\Lib\site-packages\certifi\cacert.pem combined_cacert.pem
type added_server_cert.pem >> combined_cacert.pem
set "REQUESTS_CA_BUNDLE=F:\WorkSpace\AI\Azure\Demo\combined_cacert.pem"
uv run main.py
```
恢复原始 certifi 文件（若需要回滚）：
```bash
copy /Y .venv\Lib\site-packages\certifi\cacert.pem.bak .venv\Lib\site-packages\certifi\cacert.pem
```

----
**五、在代码中设置（备选/兜底）**
- 在 `main.py` 最顶部（导入任何请求库之前）设置环境变量：

```python
import os
import certifi
# 在进程启动时确保环境变量可见（但更可靠的是在命令行启动前设置）
os.environ.setdefault('SSL_CERT_FILE', certifi.where())
os.environ.setdefault('REQUESTS_CA_BUNDLE', certifi.where())
```
- 更安全地读取 API 密钥（不要把 key 硬编码）：

```python
import os
subscription_key = os.environ.get('AZURE_OPENAI_KEY')
if not subscription_key:
 &nbsp; &nbsp;raise RuntimeError('请设置环境变量 AZURE_OPENAI_KEY')
​
client = AzureOpenAI(api_version=..., azure_endpoint=..., api_key=subscription_key)
```
然后在 cmd：
```bash
set AZURE_OPENAI_KEY=你的密钥
uv run main.py
```

----
**六、常见问题与排查要点**
- 如果合并了 CA 仍失败：检查你设置的环境变量是否在 `uv run` 环境可见（最好用 `uv run python -c "import os; print(os.environ.get('REQUESTS_CA_BUNDLE'))"` 进行验证）。
- 检查 `httpx` 版本与 `openai` SDK 版本，某些旧版库可能在启动时固定了 SSL 配置。
- 企业网络下可能还存在透明代理、分流或证书链不完整的问题；联系 IT 提供完整的证书链（root + intermediate）是最可靠的方式。


----
**七、示例一键运行脚本（可放在项目根，`run_with_combined.bat`）**
```bash
@echo off
cd /d %~dp0
set "REQUESTS_CA_BUNDLE=%~dp0combined_cacert.pem"
uv run main.py
```
PowerShell 版本 `run_with_combined.ps1`：
```bash
$P = Split-Path -Parent $MyInvocation.MyCommand.Path
$env:REQUESTS_CA_BUNDLE = Join-Path $P 'combined_cacert.pem'
uv run main.py
```

----
**八、安全注意事项**
- 永远不要在生产环境中禁用 TLS 验证。
- 不要把私钥或敏感凭据贴到聊天或提交到版本控制。使用环境变量或安全秘钥管理器。 
- 对公司根证书的信任应通过 IT 审批流程完成。


适用场景：在 Windows + uv 管理的 Python 环境中，用 openai SDK（基于 httpx）请求 Azure OpenAI 或其他 HTTPS 服务时，报错：

解决 `CERTIFICATE_VERIFY_FAILED`（OpenAI/httpx 在企业网络下的证书验证失败）

适用场景：在 Windows + uv 管理的 Python 环境中，用 openai SDK（基于 httpx）请求 Azure OpenAI 或其他 HTTPS 服务时，报错：[SSL: CERTIFICATE_VERIFY_FAILED] certificate verify failed: unable to get local issuer certificate

测试开发工程师

编程语言

网络与通信

安全

解决Python在Windows企业网络中SSL证书验证失败问题。当企业网络拦截HTTPS流量时，需信任内部CA证书而非禁用验证。推荐合并企业CA到证书捆绑文件，通过环境变量REQUESTS_CA_BUNDLE指定路径。提供诊断脚本、证书获取方法和安全修复策略，确保TLS连接安全可靠。

服务器

Windows

Python

4核4G3M云服务器 新用户低至38元/年！

2026新春采购季

domain

文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云AI代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

功能1上新10个字符

功能2描述100个字符功能2描述100个字符功能2描述100个字符功能2描述100个字符功能2描述100个字符功能2描述100个字符功能2描述100个字符功能2描述100个字符功能2描述100个字符。

功能2上新100个字符功能2上新100个字符功能2上新100个字符功能2上新100个字符功能2上新100个字符功能2上新100个字符功能2上新100个字符功能2上新100个字符功能2上新100个字符。

功能5描述100个字符功能5描述100个字符功能5描述100个字符功能5描述100个字符功能5描述100个字符功能5描述100个字符

功能5上新100个字符功能5上新100个字符功能5上新100个字符功能5上新100个字符功能5上新100个字符功能5上新100个字符功能5上新100个字符功能5上新100个字符功能5上新100个字符功能5上新100个字符

功能4上新

文章&问答评论现已支持表情

全新交互，全新视觉，新增快捷键、悬浮工具栏、高亮块等功能并同时优化现有功能，全面提升创作效率和体验

社区富文本编辑器全新改版！诚邀体验～ 

精选全网热门MCP server，让你的AI更好用 🚀

💥开发者 MCP广场重磅上线！

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

社区新版编辑器体验调研

解决 `CERTIFICATE_VERIFY_FAILED`（OpenAI/httpx 在企业网络下的证书验证失败）-腾讯云开发者社区-腾讯云

解决 `CERTIFICATE_VERIFY_FAILED`（OpenAI/httpx 在企业网络下的证书验证失败）

解决 `CERTIFICATE_VERIFY_FAILED`（OpenAI/httpx 在企业网络下的证书验证失败）

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐