3. requests 库安全特性：HTTPS 支持、证书验证机制、安全头处理

在供应链安全与权限审计场景中，requests 库的传输层安全特性是镜像源通信的第一道防线。本章聚焦 HTTPS 协议支持、证书链验证机制以及安全响应头处理，帮助 DevSecOps 工程师在自动化巡检中避免中间人攻击、证书劫持与敏感信息泄露。

3.1 HTTPS 支持与协议协商

requests 库默认对 https:// 开头的 URL 启用 TLS 加密传输，底层依赖 urllib3 与 ssl 模块。在镜像源巡检场景中，必须确认服务端支持 TLS 1.2 及以上协议，并禁用已废弃的 SSLv2/v3 与 TLS 1.0/1.1。

import requests
from requests.packages.urllib3.util.ssl_ import create_urllib3_context

# 强制限制 TLS 版本为 1.2+
ctx = create_urllib3_context()
ctx.minimum_version = ssl.TLSVersion.TLSv1_2

session = requests.Session()
session.adapters['https://'].init_poolmanager(ssl_context=ctx)

try:
    resp = session.get('https://mirror.example.com/pypi/simple/', timeout=10)
    print(f"TLS 协商成功，状态码: {resp.status_code}")
except requests.exceptions.SSLError as e:
    print(f"TLS 版本不满足安全水位: {e}")

3.2 证书验证机制

requests 库默认启用证书验证（verify=True），通过系统 CA 包或自定义 CA 文件校验服务端证书链。在供应链镜像源场景中，证书验证失败必须阻断请求，避免中间人攻击。

证书验证的核心流程包括：

• 证书链构建： 从服务端证书逐级向上验证至根 CA。
• 主机名校验： 检查证书 CN 或 SAN 是否匹配请求域名。
• 有效期检查： 确认证书未过期且未生效。
• 吊销状态： 可选检查 CRL 或 OCSP（requests 默认不内置，需扩展）。

3.3 安全响应头处理

镜像源 HTTP 响应中携带的安全头直接影响供应链审计水位。requests 库本身不自动处理安全头，但 DevSecOps 巡检脚本必须检查以下关键头字段：

import requests

SECURITY_HEADERS = {
    'Strict-Transport-Security': lambda v: v and 'max-age=31536000' in v,
    'X-Content-Type-Options': lambda v: v == 'nosniff',
    'Content-Security-Policy': lambda v: v is not None,
    'X-Frame-Options': lambda v: v in ('DENY', 'SAMEORIGIN'),
}

def audit_security_headers(url):
    try:
        resp = requests.get(url, timeout=10, verify=True)
        audit_results = {}
        for header, check_fn in SECURITY_HEADERS.items():
            value = resp.headers.get(header)
            passed = check_fn(value)
            audit_results[header] = {
                'present': value is not None,
                'value': value,
                'passed': passed
            }
        return audit_results
    except requests.exceptions.RequestException as e:
        return {'error': str(e)}

# 审计示例
result = audit_security_headers('https://pypi.org/simple/')
for header, info in result.items():
    status = '✅' if info.get('passed') else '❌'
    print(f"{status} {header}: {info.get('value', '缺失')}")

3.4 证书固定与自定义信任策略

在内部镜像源或私有 PyPI 场景中，可能需要使用自签名证书或企业 CA。requests 支持通过 verify 参数指定自定义 CA 包，也支持通过 cert 参数提供客户端证书用于双向 TLS 认证。

import requests

# 场景一：使用自定义 CA 包验证服务端
resp = requests.get(
    'https://internal-mirror.company.com/simple/',
    verify='/etc/ssl/certs/company-ca.crt',
    timeout=10
)

# 场景二：双向 TLS（mTLS）客户端证书
resp = requests.get(
    'https://secure-mirror.company.com/simple/',
    cert=('/path/to/client.crt', '/path/to/client.key'),
    verify='/etc/ssl/certs/company-ca.crt',
    timeout=10
)

3.5 安全水位巡检清单

综合以上内容，针对 requests 库的 HTTPS 与证书安全巡检，建议按以下清单逐项检查：

1. 协议版本： 确认服务端 TLS 版本 ≥ 1.2，拒绝旧版协议。
2. 证书验证： 确保 verify=True，未使用 verify=False 的豁免配置。
3. 证书链完整性： 检查证书链是否完整，根 CA 是否在信任库中。
4. 主机名校验： 确认证书 CN/SAN 匹配请求域名。
5. 安全响应头： 至少检查 HSTS、X-Content-Type-Options、CSP 三个头。
6. 证书文件权限： 自定义 CA 或客户端证书文件权限不超过 600。
7. 会话复用： 使用 requests.Session() 时注意连接池的 TLS 上下文一致性。