pip安装包走代理报CERTIFICATE_VERIFY_FAILED，别急着关闭证书校验

在公司网络中执行 pip install，浏览器可以正常打开Python包索引，pip却报 CERTIFICATE_VERIFY_FAILED。常见原因并不是“pip坏了”，而是Python运行时使用的CA信任来源与浏览器不同，或者企业HTTPS检查设备重新签发了证书，而pip所在环境并不信任这家企业CA。

证书校验用于确认下载服务身份并保护传输完整性。直接关闭校验、随意添加 trusted-host 或从网上下载未知根证书，会把一次连接问题变成依赖供应链风险。

先看错误发生在证书链的哪一环

保存完整异常类型和请求主机，但公开日志前要删除用户名、密码、令牌和内部域名。

为什么浏览器能用，pip仍然失败

• 浏览器信任Windows或macOS系统证书库，当前Python环境使用独立CA包；
• 浏览器由企业策略自动安装了根CA，Python虚拟环境没有读取；
• pip、Python和证书包版本不同，信任来源或默认行为不同；
• 浏览器走系统代理，pip读取环境变量或自己的代理配置；
• pip最终下载包文件的域名与浏览器打开的首页不同；
• IDE、容器、WSL或服务账户运行的是另一套Python。

排查前必须记录环境

至少记录：

python --version
python -m pip --version
python -m pip config debug

使用 python -m pip 可以更明确地把pip与当前Python解释器对应起来。配置调试输出可能包含索引令牌、代理URL或本地路径，分享前必须脱敏。

安全排查顺序

1. 确认系统时间。检查日期、时区和时间同步。时间明显错误会让有效证书看起来过期或尚未生效。
2. 核对实际索引和下载主机。查看pip访问的是官方索引、企业镜像还是私有仓库，错误发生在元数据还是包文件下载。
3. 确认代理配置。检查pip配置、HTTPS_PROXY、HTTP_PROXY、NO_PROXY 和运行账户，区分407与TLS校验。
4. 查看证书颁发者。在授权环境中检查实际服务器证书链。如果颁发者是企业安全设备，应向IT确认这是预期检查。
5. 取得可信CA。只从组织管理员、操作系统或服务商官方渠道获得企业根CA与中间链，核对指纹和用途。
6. 按当前Python/pip文档配置。使用支持的证书文件、系统信任或企业统一方式，不把CA路径和秘密随意写进项目。
7. 修复后重新开启严格校验。用干净虚拟环境安装一个批准的包，确认不再依赖绕过选项。

证书文件应该怎样管理

CA证书通常不是密码，但它决定哪些签发者被信任，仍应由管理员控制来源、更新与撤销。不要把内部CA随意公开，不要将包含私钥的文件误当普通证书分发。pip需要的是受信任CA证书链，不应获得企业CA私钥。

在CI、容器和开发机中，应通过受控基础镜像、配置管理或秘密/资产分发机制安装CA，记录版本和指纹。临时复制到个人目录后长期遗忘，会导致证书到期时难以维护。

为什么trusted-host不是标准修复

把索引加入trusted-host或关闭证书验证，会降低对服务身份和传输完整性的保护。即使只为“临时测试”，配置也可能进入用户级文件，之后所有项目继续使用。除非当前官方文档明确说明特定受控诊断用途并由安全负责人批准，否则应修复信任链本身。

家庭网络正常、公司网络失败说明什么

这是一条企业代理或CA相关线索，但还不能单独证明HTTPS检查。比较两边的证书颁发者、pip配置、DNS和最终下载域名，再由管理员确认。不要为了绕过公司网络改用手机热点处理受保护的公司代码或数据。

私有索引还要检查哪些内容

私有仓库证书可能缺少中间链、使用错误域名，或者反向代理没有为下载域名部署相同证书。服务端应提供完整正确证书链；不应把一个服务端配置错误分散到所有客户端用关闭验证解决。

修复后的验收清单

• 正确的Python与pip环境使用批准的CA来源；
• 代理认证、索引认证和TLS证书错误已经区分；
• 元数据与包文件下载均严格校验成功；
• 用户级、项目级和CI配置中没有关闭验证的残留；
• 令牌、代理密码和私有索引地址没有进入日志或仓库；
• 企业CA到期和轮换有维护责任人。

需要开发和网络工具时，可以从极跃圈网址导航选择。真正可复查的结论应包含Python版本、pip版本、索引主机、代理来源、证书颁发者和CA配置方式，而不是简单写“加trusted-host就好了”。