error:14090086:SSL routines:SSL3_GET_SERVER_CERTIFICATE:certificate verify failed

### 关于TLS_ERROR: BIO read tls_read_plaintext error: error:14090086:SSL错误的原因 当遇到`error:14090086:SSL routines:ssl3_get_server_certificate:certificate verify failed`这一特定的SSL错误时，通常意味着客户端无法验证服务器证书的有效性。这可能是由于以下几个原因造成的： - 客户端未能找到可信的CA（Certificate Authority）来验证服务器提供的证书。 - 服务器配置不正确，导致其发送了一个不可信或自签名的证书给客户端。 - 中间网络设备篡改了通信过程中的数据包，使得原本有效的证书变得不再有效。 对于上述提到的第一个可能性，在某些情况下，操作系统可能缺少必要的根证书更新，从而阻止了对新颁发证书的信任关系建立[^2]。 针对该类问题的技术文档还指出，如果应用程序使用的OpenSSL版本过低，则可能会因为算法支持不足而引发类似的握手失败现象[^3]。 ### 解决方案概述 为了克服这个问题，可以采取如下措施之一或多者组合的方式来进行修复： #### 更新本地信任库 确保系统的受信任CAs列表是最新的，并包含了所有必需的中间件和根认证机构。可以通过安装最新的安全补丁或者手动导入缺失的证书链来完成这项工作。 #### 修改应用层逻辑绕过校验(仅限测试环境) 在开发调试阶段或是非生产环境中，临时禁用SSL/TLS连接上的主机名检查功能可以帮助快速定位其他潜在的问题根源所在；但是请注意这种方法存在严重的安全隐患，绝不应该应用于任何面向公众的服务当中！ ```python import ssl context = ssl.create_default_context() context.check_hostname = False context.verify_mode = ssl.CERT_NONE ``` #### 升级依赖组件至最新稳定版 保持所使用软件栈各部分处于良好维护状态有助于减少兼容性和安全性方面带来的困扰。特别是像OpenSSL这样的底层加密库更应如此操作以获得更好的性能表现以及漏洞修补服务。 #### 配置代理设置排除干扰因素 有时企业内部防火墙或其他形式的安全网关会拦截并重新封装HTTPS流量，进而影响到正常的公钥基础设施(PKI)流程运转。此时应当联系相关人员调整策略参数允许直连目标站点直至恢复正常访问为止。