本文针对 Python 2.7.5 在连接较新 API 时可能遇到的 `requests.exceptions.SSLError: [Errno 1] _ssl.c:504: error:14077410:SSL routines:SSL23_GET_SERVER_HELLO:sslv3 alert handshake failure` 错误，提供了详细的排查思路和解决方案。主要围绕升级 Python 版本、升级 OpenSSL 库以及理解 SSL/TLS 协议握手过程展开，旨在帮助开发者解决兼容性问题，确保 Python 2.7 环境下也能安全可靠地访问现代 API 服务。
理解 SSLError 的根源
当 Python 2.7.5 尝试连接使用较新 TLS 协议或密码套件的 API 时，经常会遇到 SSLError。 这是因为 Python 2.7.5 及其捆绑的 OpenSSL 版本可能不支持 API 服务器所需的协议或密码套件。 该错误信息 SSL23_GET_SERVER_HELLO:sslv3 alert handshake failure 表明客户端和服务器无法就共同的 SSL/TLS 协议版本达成一致，导致握手失败。
要理解此问题，需要了解以下几点：
- SSL/TLS 协议： 用于在客户端和服务器之间建立安全连接。存在多个版本（例如 SSLv3、TLS 1.0、TLS 1.2、TLS 1.3），每个版本都支持不同的加密算法和安全特性。
- 密码套件： 定义了在 SSL/TLS 握手期间使用的特定加密算法组合，包括密钥交换算法、身份验证算法和加密算法。
- OpenSSL： 一个广泛使用的开源库，提供 SSL/TLS 协议的实现。Python 的 _ssl 扩展模块依赖于 OpenSSL 来处理安全连接。
解决方案
由于客户端无法控制服务器端启用的协议和密码套件，因此解决此问题的关键在于升级客户端环境，使其支持所需的协议和密码套件。以下是一些可行的解决方案：
立即学习“Python免费学习笔记（深入）”；
1. 升级 Python 版本
这是最推荐的解决方案。升级到 Python 2.7 系列的最新版本（Python 2.7.18）通常可以解决兼容性问题。较新版本的 Python 捆绑了更新的 _ssl 扩展模块，该模块可能包含对较新协议和密码套件的支持。
2. 升级 OpenSSL 库
如果无法升级 Python 版本，则可以尝试升级 OpenSSL 库。这需要从源代码构建 Python，并将 _ssl 扩展模块链接到升级后的 OpenSSL 库。
步骤如下：
- 下载并安装最新版本的 OpenSSL 1.1.1（例如 1.1.1w）。
- 从源代码下载 Python 2.7.5 或 2.7.18。
- 配置 Python 的构建过程，以使用新安装的 OpenSSL 库。这通常涉及设置 CFLAGS 和 LDFLAGS 环境变量。
- 构建并安装 Python。
示例（Linux）：
# 下载 OpenSSL wget https://www.openssl.org/source/openssl-1.1.1w.tar.gz tar -xzf openssl-1.1.1w.tar.gz cd openssl-1.1.1w ./config --prefix=/opt/openssl make sudo make install # 下载 Python 2.7.18 wget https://www.python.org/ftp/python/2.7.18/Python-2.7.18.tgz tar -xzf Python-2.7.18.tgz cd Python-2.7.18 # 配置 Python 构建 export CFLAGS="-I/opt/openssl/include" export LDFLAGS="-L/opt/openssl/lib -Wl,-rpath=/opt/openssl/lib" ./configure --prefix=/usr/local --with-openssl=/opt/openssl # 构建并安装 Python make sudo make install
注意事项：
- 确保正确设置了 CFLAGS 和 LDFLAGS 环境变量，以指向新安装的 OpenSSL 库。
- 在执行 make install 之前，请仔细检查安装路径，以避免覆盖系统默认的 Python 安装。
3. 禁用 SSL 验证 (不推荐)
虽然不推荐，但在某些情况下，可以禁用 SSL 验证来绕过 SSLError。 这可以通过在 requests 库中使用 verify=False 参数来实现。
示例：
import requests
response = requests.get('https://your-api-endpoint', verify=False)警告：
禁用 SSL 验证会使你的应用程序容易受到中间人攻击。只有在绝对必要的情况下，并且你完全信任连接的服务器时，才应使用此方法。
4. 配置密码套件（高级）
在某些情况下，可以通过配置客户端支持的密码套件来解决 SSLError。 这需要深入了解 OpenSSL 的配置选项，并且通常只适用于高级用户。
示例：
import ssl
import requests
context = ssl.create_default_context()
context.set_ciphers('TLSv1.2:ECDHE+AESGCM:!ECDSA') # 替换为适当的密码套件
session = requests.Session()
session.mount('https://', HTTPAdapter(max_retries=3))
session.verify = True
session.cert = None
session.ssl_context = context
response = session.get('https://your-api-endpoint')注意事项：
- 密码套件的配置取决于 OpenSSL 的版本和服务器的配置。
- 错误的密码套件配置可能会导致连接失败或降低安全性。
总结
解决 Python 2.7.5 中的 SSLError 通常涉及升级 Python 或 OpenSSL 库，以支持 API 服务器所需的较新协议和密码套件。 禁用 SSL 验证是一种不推荐的解决方法，应谨慎使用。 选择哪种解决方案取决于你的具体需求和环境限制。 始终优先考虑安全性，并确保你的应用程序使用最新的安全协议和密码套件。
