根本原因是Python环境信任的根证书过旧，certifi.where()提供最新CA证书路径，必须显式传给MongoClient的tlsCAFile参数才能生效，仅安装certifi不解决问题。
证书过期错误根本不是 MongoDB 服务端的问题，而是 Python 运行环境信任的根证书（CA）太旧，无法验证 Let's Encrypt 新签发的证书链。
为什么 certifi.where() 能解决 90% 的情况
Python 自带的 ssl 模块默认使用系统级 CA 证书（Windows/macOS/Linux 各不相同），但这些证书长期不更新。Let’s Encrypt 在 2021 年停用 DST Root CA X3，切换到 ISRG Root X1/X2；很多旧系统或 Python 安装没同步这个变更。
而 certifi 是一个由 Python 社区维护的、定期更新的 CA 证书包，certifi.where() 返回的就是它内置的最新 cacert.pem 路径。
- 必须显式传给
MongoClient：仅安装certifi不生效，一定要在连接时加tlsCAFile=certifi.where() - 不要用
ssl=True单独开关：它只启用 TLS，不指定信任库，仍走系统默认 CA - 如果用了
mongodb+srv://，tlsCAFile依然有效——SRV 记录解析后最终还是走 TLS 握手
什么时候不能靠 certifi，得换系统级证书
某些场景下 certifi.where() 无效，比如：
立即学习“Python免费学习笔记（深入）”；
仅使用 Python 将 Claw Code 虚拟化框架与 OpenClaw 集成，提供 184 种工具和 200 多条命令，用于安全分析和代码质量...
- 你用的是 PyInstaller 或 cx_Freeze 打包的程序，且没把
certifi证书文件正确打包进资源 - 企业环境强制使用内部 CA，所有流量经中间人代理（MITM），此时需要把内网根证书路径传给
tlsCAFile - Python 是通过系统包管理器安装（如 Ubuntu 的
python3-pymongo），其ssl模块被硬绑定到系统/etc/ssl/certs/ca-certificates.crt
这时要更新系统证书：
- Ubuntu/Debian：
sudo update-ca-certificates - CentOS/RHEL：
sudo update-ca-trust - macOS（Homebrew Python）：
brew reinstall ca-certificates - Windows：手动导入 ISRG Root X1/X2 和 Let's Encrypt R3 的
.cer文件到“受信任的根证书颁发机构”
绝对不要用 ssl_cert_reqs=ssl.CERT_NONE
这是关闭证书验证，不是修复问题。后果包括：
- 连接会被中间人攻击劫持，密码、数据明文传输
- PyMongo 6.0+ 已弃用该参数，直接报错
ValueError: ssl_cert_reqs cannot be CERT_NONE - 即使临时加了，也会触发
UserWarning: Insecure transport，CI 环境可能直接失败
开发调试时若实在卡住，可用 tlsAllowInvalidCertificates=True（仅限本地），但它只是跳过证书有效期和域名校验，仍做 TLS 加密，比 CERT_NONE 稍安全一点——但上线前必须删掉。
容易被忽略的冷启动问题
哪怕你改对了代码、装好了 certifi、重启了 Python 进程，第一次连接仍可能失败。因为：
- DNS 缓存未刷新，
mongodb+srv://解析出的旧 IP 可能指向已下线节点 - 操作系统 DNS 缓存（如 Windows 的
ipconfig /flushdns）或本地 hosts 干扰 - PyMongo 内部有连接池预热机制，首次
serverSelectionTimeoutMS超时后不会自动重试，需显式捕获ServerSelectionTimeoutError并重连
最稳的验证方式是：在终端跑一次 openssl s_client -connect your-cluster.mongodb.net:27017 -servername your-cluster.mongodb.net -showcerts，看输出里 subject=CN = *.mongodb.net 下面的 issuer 是否含 ISRG Root X1 ——这才是真实握手用的证书链。
