环境准备与工具链：Python3.9+、OpenSSL CLI、cryptography库、requests库的安装与配置

写自动化脚本，最怕什么？

我最怕环境不一致。明明在本地跑得好好的，一上测试环境就报错。证书轮换这种操作，一旦出问题，线上服务直接挂掉。所以，咱们先把地基打牢。

这一章，我会带你搭好整套工具链。说白了，就是把你电脑武装成一个「证书轮换工作站」。我自己的习惯是，每接手一个新项目，第一件事就是统一环境版本。别嫌麻烦，后面省下的时间，够你喝好几杯咖啡的。

2.1 核心工具一览

先看看我们都需要什么。我把它们分成三块：

类别 工具/库 版本要求 作用
运行时 Python 3.9+ 脚本执行引擎
系统工具 OpenSSL CLI 1.1.1+ 证书生成、解析、格式转换
Python库 cryptography 41.0+ Python侧加解密、证书对象操作
Python库 requests 2.28+ HTTP API调用、证书状态查询

你可能会问，为什么不用系统自带的 openssl 就够了，还要装 cryptography？

嗯，这里要注意。OpenSSL CLI 适合手动操作和调试，但自动化脚本里频繁调用子进程，性能差、错误处理也麻烦。cryptography 库直接在 Python 内存里操作证书对象，快得多，也安全得多。我在一个项目中就吃过这个亏——用 subprocess 调 openssl 做批量解析，结果并发一高，进程句柄泄漏了。后来全换成 cryptography，问题立刻解决。

我的建议：OpenSSL CLI 用来「验活」，cryptography 用来「干活」。两个都装，各司其职。

2.2 安装 Python 3.9+

Python 3.9 引入了一个关键特性——zoneinfo 模块。证书轮换经常涉及时间比较，时区处理不好，轮换时机就会算错。3.9 之前你得装 pytz，现在标准库自带，省心不少。

Windows

  1. 去 python.org 下载 3.9+ 安装包。
  2. 安装时记得勾选 Add Python to PATH。
  3. 打开 PowerShell，验证一下：
python --version
# 输出示例：Python 3.12.2

macOS / Linux

我个人推荐用 pyenv 管理多版本。尤其是 macOS，系统自带的 Python 千万别动，那是给系统用的。

# 安装 pyenv
curl https://pyenv.run | bash

# 安装 Python 3.12
pyenv install 3.12.2

# 设置全局版本
pyenv global 3.12.2

# 验证
python --version

避坑指南：我曾经在 CentOS 7 上直接用 yum 装 Python 3.9，结果装完发现 SSL 模块编译失败，requests 库根本用不了。后来老老实实从源码编译，加上 --with-ssl 参数才搞定。如果你也用 CentOS 7，建议直接用 pyenv 或 conda，别折腾系统包管理器。

2.3 安装 OpenSSL CLI

OpenSSL 是证书世界的瑞士军刀。我们主要用它做三件事：

  • 生成测试用的自签名证书
  • 查看证书详情（有效期、签发者、SAN）
  • 格式转换（PEM ↔ DER ↔ PKCS12）

检查是否已安装

openssl version
# 输出示例：OpenSSL 3.0.13 30 Jan 2024

如果版本低于 1.1.1，建议升级。1.1.1 是 LTS 版本，支持 TLS 1.3，够用。3.0+ 更好，但要注意 API 有少量不兼容。

各平台安装方式

平台 命令 备注
Ubuntu/Debian sudo apt install openssl 通常预装
CentOS/RHEL sudo yum install openssl 版本可能较旧
macOS brew install openssl Homebrew 版优先于系统版
Windows 下载 Win64 OpenSSL 安装包 安装后加到 PATH

注意：macOS 自带的 LibreSSL 不是 OpenSSL，命令虽然兼容，但某些高级功能（比如 -addext 参数）不支持。一定要装 Homebrew 版的 OpenSSL，然后用 brew link --force openssl 覆盖系统链接。

2.4 安装 Python 依赖库

接下来装两个核心库。我习惯先建虚拟环境，再装依赖。这样项目之间不打架。

创建虚拟环境

# 创建项目目录
mkdir cert-rotation && cd cert-rotation

# 创建虚拟环境
python -m venv venv

# 激活
# Windows:
venv\Scripts\activate
# macOS/Linux:
source venv/bin/activate

安装 cryptography

pip install cryptography

这个库底层依赖 OpenSSL 的 C 库，所以编译时可能会报错。如果你遇到 rustc not found 的错误，别慌——从 41.0 版本开始，cryptography 默认用 Rust 编译。装个 Rust 编译器就行：

curl --proto '=https' --tlsv1.2 -sSf https://sh.rustup.rs | sh

或者，你也可以直接装预编译的 wheel 版本：

pip install cryptography --only-binary=:all:

安装 requests

pip install requests

这个简单，纯 Python 库，基本不会出问题。唯一要注意的是，如果你的环境有代理，记得配环境变量：

export HTTP_PROXY=http://proxy.example.com:8080
export HTTPS_PROXY=http://proxy.example.com:8080

验证安装

写个简单的测试脚本，跑一下：

# test_env.py
from cryptography import x509
from cryptography.hazmat.backends import default_backend
import requests

# 测试 cryptography：加载一个证书
cert_pem = b"-----BEGIN CERTIFICATE-----\nMIID...\n-----END CERTIFICATE-----"
cert = x509.load_pem_x509_certificate(cert_pem, default_backend())
print(f"证书主题: {cert.subject}")

# 测试 requests：访问一个 HTTPS 站点
resp = requests.get("https://www.google.com", timeout=5)
print(f"HTTP 状态码: {resp.status_code}")

如果没报错，恭喜你，环境搭好了。

2.5 知识体系总览

下面这张图，把整个工具链的层次关系画清楚了。你可以把它当作本章的「地图」：

证书轮换工具链架构图 证书轮换工具链架构 证书轮换自动化脚本 cryptography 库 requests 库 OpenSSL CLI Python 运行时 (3.9+) 操作系统 (Windows / macOS / Linux) 网络 / CA 服务 / 证书存储 说明：上层依赖下层，每层都有明确的职责边界。脚本只调用 Python 库，不直接操作系统工具。

2.6 常见问题与排查

环境准备阶段，我见过最多的问题就这几个：

问题 原因 解决方案
ModuleNotFoundError: No module named 'cryptography' 没激活虚拟环境，或装到了系统 Python 检查 which python 是否指向 venv 内的路径
openssl: symbol lookup error 系统同时存在多个 OpenSSL 版本，链接冲突 用 ldd $(which openssl) 检查动态库路径
requests.exceptions.SSLError 系统 CA 证书包过旧或缺失 安装 certifi 库：pip install certifi
pip install 卡住或超时 网络问题，或 PyPI 镜像不可用 换国内镜像：pip install -i https://pypi.tuna.tsinghua.edu.cn/simple

我的一个小习惯：每次装完环境，我都会跑一遍 pip freeze > requirements.txt，把版本锁死。这样队友拉代码后，直接 pip install -r requirements.txt 就能复现一模一样的依赖。证书轮换脚本对时间敏感，依赖版本不一致，行为就可能不一样——这个坑，我踩过不止一次。

2.7 验证环境是否就绪

最后，我们用一个综合测试来收尾。把下面这段代码保存为 check_env.py，然后运行：

#!/usr/bin/env python3
"""环境就绪检查脚本"""

import sys
import subprocess

def check_python():
    print(f"[Python] 版本: {sys.version}")
    assert sys.version_info >= (3, 9), "Python 版本必须 >= 3.9"

def check_openssl():
    result = subprocess.run(["openssl", "version"], capture_output=True, text=True)
    print(f"[OpenSSL] 版本: {result.stdout.strip()}")
    assert result.returncode == 0, "OpenSSL 未安装或不可用"

def check_cryptography():
    import cryptography
    print(f"[cryptography] 版本: {cryptography.__version__}")

def check_requests():
    import requests
    print(f"[requests] 版本: {requests.__version__}")

if __name__ == "__main__":
    check_python()
    check_openssl()
    check_cryptography()
    check_requests()
    print("\n✅ 所有环境检查通过，可以开始编写证书轮换脚本了！")
← 上一章 📖 返回目录 下一章 →