Python脚本连不上Apache服务的常见原因是TLS协商不匹配：Apache需启用TLS 1.2+、证书含SAN且配置SNI，否则Python因严格验证而拒绝连接。
python 脚本连不上 apache 服务，常见原因不是 apache 配置错误，而是 tls 协商不匹配——python 客户端默认启用严格证书验证和现代 tls 版本，而 apache 若配置过旧、证书不全或 sni 缺失，就会在握手阶段被 python 拒绝。
检查 Apache 是否启用 TLS 1.2+ 并禁用不安全协议
Python（尤其是 3.6+）默认要求 TLS 1.2 或更高版本，且拒绝 SSLv2/v3、TLS 1.0/1.1。若 Apache 启用了老旧协议，Python 会直接中断连接，报错类似 ssl.SSLError: [SSL: UNSUPPORTED_PROTOCOL] 或静默失败。
在 Apache 的 SSL 配置中（如 /etc/apache2/mods-available/ssl.conf 或虚拟主机配置），确保包含：
- SSLProtocol all -SSLv2 -SSLv3 -TLSv1 -TLSv1.1 +TLSv1.2 +TLSv1.3（明确禁用不安全版本）
- 避免使用模糊写法如
SSLProtocol +all，它可能意外启用已废弃协议 - 重启 Apache：
sudo systemctl restart apache2（Debian/Ubuntu）或httpd -t && sudo systemctl restart httpd（RHEL/CentOS）
确认证书链完整且含 Subject Alternative Name（SAN）
Python 的 ssl.create_default_context() 默认开启主机名验证（check_hostname=True），它不仅检查证书域名是否匹配，还强制要求证书中包含 SAN 扩展字段。若 Apache 使用的证书只有 Common Name（CN）而无 SAN，Python 会报 CertificateError: hostname 'example.com' doesn't match...。
- 用命令检查证书是否含 SAN：
openssl x509 -in /path/to/cert.pem -text -noout | grep -A1 "Subject Alternative Name" - Let’s Encrypt 等现代 CA 默认生成带 SAN 的证书；自签名或老旧证书需手动添加（如用 OpenSSL 配置文件指定
subjectAltName = DNS:example.com） - Apache 中确保证书路径正确：
SSLCertificateFile指向含 SAN 的证书，SSLCertificateChainFile或SSLCACertificateFile补全中间证书（推荐合并为 fullchain.pem）
确保 Apache 开启 SNI 并监听正确端口
Python 客户端调用 context.wrap_socket(sock, server_hostname="example.com") 时会发送 SNI 扩展。若 Apache 未启用 SNI（如使用老版本或未配置 NameVirtualHost），或监听的是非标准端口但未在客户端显式传入 server_hostname，会导致握手失败或返回默认虚拟主机证书（域名不匹配）。
立即学习“Python免费学习笔记（深入）”；
- Apache 2.2.12+ 默认支持 SNI；确认虚拟主机配置中使用了
<virtualhost></virtualhost>而非<virtualhost _default_:443></virtualhost> - 测试 SNI 是否生效：用
openssl s_client -connect example.com:443 -servername example.com，查看返回的证书是否与预期一致 - Python 脚本中必须显式传
server_hostname，即使连的是 IP 地址（如127.0.0.1），只要证书里 SAN 是域名，就得填该域名
临时验证：用 curl 和 Python 分步排查
先排除网络和 DNS 问题，再聚焦 TLS 协商：
- 用 curl 测试基础 TLS 连通性：
curl -I https://example.com。若失败，说明 Apache 层有问题；若成功，问题大概率在 Python 的上下文配置 - 在 Python 中复现最小连接逻辑：
import socket import ssl <p>context = ssl.create_default_context() # 自动加载系统 CA，启用证书验证 with socket.create_connection(("example.com", 443")) as sock: with context.wrap_socket(sock, server_hostname="example.com") as ssock: print(ssock.version(), ssock.cipher()) # 查看实际协商的协议和加密套件 - 若上例失败，可临时禁用验证定位问题（仅调试）：
context.check_hostname = False; context.verify_mode = ssl.CERT_NONE。若此时成功，说明是证书或主机名配置问题
