绝大多数SSL证书验证失败问题源于本地Python未正确使用根证书，优先升级certifi并设置SSL_CERT_FILE环境变量可解决90%场景；若仍失败，可临时用--trusted-host跳过验证，但存在安全风险。
直接说结论：绝大多数 Python 安装第三方库时的 SSL certificate verify failed 错误，不是网络问题，也不是 PyPI 服务器证书坏了，而是你本地 Python 找不到或没用对根证书。优先试 pip install --upgrade certifi + 设置环境变量，90% 场景能秒解；实在不行再考虑信任源（--trusted-host）临时绕过。
为什么 certifi 升级能解决大部分 SSL 报错
certifi 是 Python 生态里事实上的“根证书包”，它把 Mozilla 维护的最新可信 CA 列表打包成一个 Python 可读的 PEM 文件。很多 Python 发行版（尤其是 macOS 上从 python.org 下载的安装包）自带的 certifi 版本老旧，里面缺了近年新增或替换的根证书（比如 Let’s Encrypt 的 ISRG Root X1/X2），导致无法验证 PyPI 等现代 HTTPS 站点的证书链。
实操建议：
- 先运行
pip install --upgrade certifi，确保拿到最新版 - 升级后检查路径是否生效：
python -c "import certifi; print(certifi.where())"，输出应是一个真实存在的 .pem 文件路径 - 如果仍报错，说明 Python 没自动用上它——需手动绑定，见下一条
如何让 Python 强制使用 certifi 的证书（关键一步）
仅升级 certifi 不够，Python 的 ssl 模块和 requests 库默认不一定读取它。必须显式告诉系统“就用这个证书文件”。最稳妥的方式是设环境变量，而不是改代码。
立即学习“Python免费学习笔记（深入）”；
操作步骤（终端中执行）：
- macOS / Linux：
export SSL_CERT_FILE=$(python -c "import certifi; print(certifi.where())") - Windows（PowerShell）：
$env:SSL_CERT_FILE=(python -c "import certifi; print(certifi.where())") - 为长期生效，把上面命令加到 shell 配置文件（如
~/.zshrc或~/.bash_profile） - 验证是否生效：
python -c "import ssl; print(ssl.get_default_verify_paths())"，输出里应包含你刚设的路径
什么时候该用 --trusted-host（以及为什么它只是临时方案）
--trusted-host 是 pip 的开关，作用是跳过对某个域名的证书校验，只在当前命令生效。它适合两种场景：CI/CD 流水线临时调试、或你确认网络环境绝对干净（比如离线局域网内自建 PyPI 镜像但没配证书）。
但要注意：
- 必须同时指定两个 host：
pypi.org和files.pythonhosted.org，缺一不可，否则下载元数据成功但取包失败 - 命令示例：
pip install mysqlclient --trusted-host pypi.org --trusted-host files.pythonhosted.org - 它不修复根本问题，下次装别的包还得加；且每次 pip 调用都可能触发中间人风险
- 不能用于
pip config set永久配置，因为该参数不支持全局设置
容易被忽略的 macOS 专属坑
macOS 上从 python.org 下载的 Python 安装包，自带一个 Install Certificates.command 脚本，但它只在首次安装后有效，后续升级 certifi 不会自动重跑。很多人升级完 certifi 还是报错，就是因为没重新绑定系统级 SSL 上下文。
正确做法：
- 找到对应 Python 版本的应用目录，例如
/Applications/Python 3.11/Install Certificates.command - 双击运行它（或终端里执行），它会调用
certifi.where()并更新 Python 内置的默认 SSL context - 如果找不到该脚本（比如用 pyenv 安装的 Python），就只能靠前面说的
SSL_CERT_FILE环境变量方式
真正麻烦的从来不是证书本身，而是 Python 在不同平台、不同安装方式下，对“该去哪找证书”这件事，压根没统一说法。动手前先 python -c "import ssl; print(ssl.get_default_verify_paths())" 看一眼，比盲目重装 Python 有用十倍。
