应使用Python ssl模块而非openssl命令获取证书信息，通过ssl.create_default_context()建立TLS连接，调用sock.getpeercert()获取字典格式证书，用ssl.cert_time_to_seconds()解析notAfter字段为Unix时间戳，结合超时控制、异常处理、安全邮件发送及生产级调度机制实现稳定监控。
用 ssl 模块获取证书信息，别依赖外部命令
直接调用系统 openssl 命令（比如 subprocess.run(['openssl', 's_client', ...])）看似简单，但跨平台兼容差、超时难控制、输出格式不稳定。Python 自带的 ssl 模块能干净地建立 TLS 连接并提取原始证书，更可靠。
关键点：必须用 ssl.create_default_context()，否则可能跳过证书验证或拿不到完整链；连接后从 sock.getpeercert() 获取的是字典格式的证书信息，其中 'notAfter' 字段是 PEM 解析后的过期时间字符串（如 'Sep 15 12:34:56 2025 GMT'）。
- 务必设置
timeout（建议 5–10 秒），避免 DNS 卡住或服务无响应拖慢整个监控流程 - 捕获
ssl.SSLCertVerificationError、socket.timeout、ConnectionRefusedError等异常，不能让单个域名失败中断全部检查 - 注意：有些 CDN 或反向代理（如 Cloudflare）会返回其自身证书，不是源站证书——这属于预期行为，需在配置中明确目标域名语义
解析 notAfter 时间要用 ssl.cert_time_to_seconds()
手动用 datetime.strptime() 解析 notAfter 字符串容易出错：格式受 locale 影响，GMT 时区处理易漏，且不同 OpenSSL 版本输出空格数可能不一致。Python 的 ssl.cert_time_to_seconds() 是专为此设计的内部函数，稳定、无依赖、直接返回 Unix 时间戳。
示例：
立即学习“Python免费学习笔记（深入）”；
让 macOS 自动化像说话一样简单 —— 用代码控制你的 Mac，无需学习 AppleScript 系统要求 macOS 14+ (Sonoma) Python 3.9+ 需要开启：辅助功能 + 屏幕录制权限
import ssl cert = sock.getpeercert() expire_ts = ssl.cert_time_to_seconds(cert['notAfter']) days_left = (expire_ts - time.time()) // 86400
- 该函数只接受
'notAfter'或'notBefore'字符串，传其他值会抛ValueError - 返回值是 float，比较时建议转
int或用// 86400向下取整，避免浮点误差影响告警阈值判断 - 如果证书已过期，
expire_ts 成立，可立即触发高优先级告警
发邮件别硬编码 SMTP 凭据，用环境变量或配置文件
把邮箱密码写死在脚本里（尤其是推送到 Git）是典型安全隐患。应通过 os.getenv('SMTP_PASSWORD') 读取，配合 .env 文件或系统级环境变量管理。
SMTP 发送本身要处理几个现实问题：
- Gmail/Outlook 等主流邮箱要求开启「应用专用密码」或 OAuth2，普通密码会报
SMTPAuthenticationError - 国内企业邮箱常禁用非加密端口，必须用
starttls()+ 587 端口，或 SSL + 465 端口，不能默认套用一个配置 - 邮件内容建议用
MIMEText(..., _charset='utf-8')，避免中文主题或正文乱码 - 一次发送多个收件人时，
sendmail()的rcpt参数必须是 list，不是 comma-separated string
定时检查别用 time.sleep() 轮询，改用 APScheduler 或 cron
用 while True: check_all(); time.sleep(3600) 看似省事，但进程崩溃后不会自启，时间漂移严重，且无法优雅退出（Ctrl+C 可能卡在 sleep 中）。生产环境应交由成熟调度器管理。
- Linux 下推荐直接写
crontab -e，例如每 4 小时跑一次：0 */4 * * * /usr/bin/python3 /path/to/check_ssl.py >/dev/null 2>&1 - 若需复杂逻辑（如失败重试、任务日志聚合），可用
APScheduler的BlockingScheduler，但必须搭配 systemd 或 supervisor 管理进程生命周期 - 每次执行前建议先检查是否已有同名进程在运行（用
pidfile或psutil），防止网络延迟导致多次并发执行，误发重复告警
真正麻烦的不是连上网站拿证书，而是证书链中间件（比如 Let’s Encrypt 的 ISRG Root X1 升级）、SNI 主机名缺失、IP 直连绕过 CDN 导致证书不匹配这些边界情况——它们不会报“证书过期”，但会让 getpeercert() 返回空或抛出意外异常。上线前至少对 5 类不同架构的线上域名（自建 Nginx、Cloudflare、AWS ALB、阿里云 SLB、纯 IP 站点）各跑一轮真实检测。
