目前请求模块中有一个问题导致此错误，出现在v2.6.2到v2.12.4 (ATOW)中:https://github.com/kennethreitz/requests/issues/2573

解决这个问题的方法是添加以下行:DEFAULT_CIPHERS = 'ECDH+AESGCM:DH+AESGCM:ECDH+AES256:DH+AES256:ECDH+AES128:DH+AES:ECDH+3DES:DH+3DES:RSA+AESGCM:RSA+AES:RSA+3DES:!aNULL:!DSS的

有些服务器没有Letsencrypt的可信根证书。

例如，假设下面的url指向的服务器受到Letsencrypt SSL的保护。

requests.post(url, json=data)

此请求可能使用[SSL: CERTIFICATE_VERIFY_FAILED]失败，因为请求服务器没有Letsencrypt的根证书。

当发生这种情况时，请从下面的链接下载活动自签名的“pem”证书。

https://letsencrypt.org/certificates/。(在撰写本文时，ISRG根X1处于活动状态)

现在，在verify参数中使用它，如下所示。

requests.post(url, json=data, verify='path-to/isrgrootx1.pem')

我不得不从Python 3.4.0升级到3.4.6

pyenv virtualenv 3.4.6 myvenv
pyenv activate myvenv
pip install -r requirements.txt

当它说验证需要“证书路径”时，我将其指向发行者证书，以便它可以使用该证书来验证url的证书。Curl和wget可以使用该证书。但不是python请求。

我必须为python请求创建一个包含从end (leaf?)到root的所有证书的证书链，才能很好地处理它。而且这个链很自然地与cURL和Wget一起工作。

希望它能帮助别人，节省几个小时。

我在使用aws boto3时遇到了同样的问题和ssl证书验证失败的问题，通过检查boto3代码，我发现没有设置REQUESTS_CA_BUNDLE，所以我通过手动设置来修复这两个问题:

from boto3.session import Session
import os

# debian
os.environ['REQUESTS_CA_BUNDLE'] = os.path.join(
    '/etc/ssl/certs/',
    'ca-certificates.crt')
# centos
#   'ca-bundle.crt')

对于aws-cli，我想在~/中设置REQUESTS_CA_BUNDLE。Bashrc将修复这个问题(没有测试，因为我的aws-cli没有它也能工作)。

REQUESTS_CA_BUNDLE=/etc/ssl/certs/ca-certificates.crt # ca-bundle.crt
export REQUESTS_CA_BUNDLE

要使用的CA文件的名称可以通过验证:

cafile = 'cacert.pem' # http://curl.haxx.se/ca/cacert.pem
r = requests.get(url, verify=cafile)

如果使用verify=True，则requests使用自己的CA集，该CA集可能没有签署您的服务器证书的CA。