Python : 改进的模块ssl

ssl 模块现在使用 OpenSSL 的内置 API 代替 match_hostname() 来检查主机名或 IP 地址。 值的验证会在 TLS 握手期间进行。 任何证书验证错误包括主机名检查失败现在将引发 SSLCertVerificationError 并使用正确的 TLS Alert 消息中止握手过程。 这个新异常包含有额外的信息。 主机名验证可通过 SSLContext.hostname_checks_common_name 进行自定义。 （由 Christian Heimes 在 bpo-31399 中贡献。）

注解

改进的主机名检测需要有兼容 OpenSSL 1.0.2 或 1.1 的 libssl 实现。 因此，OpenSSL 0.9.8 和 1.0.1 不再被支持（请参阅 平台支持的移除 了解详情）。 目前 ssl 模块主要兼容 LibreSSL 2.7.2 及更高版本。

ssl 模块不再以 SNI TLS 扩展发送 IP 地址。 （由 Christian Heimes 在 bpo-32185 中贡献。）

match_hostname() 不再支持部分通配符例如 www*.example.org。 （由 Mandeep Singh 在 bpo-23033 以及 Christian Heimes 在 bpo-31399 中贡献。）

ssl 模块默认的加密套件选择现在是使用黑名单方式而非硬编码的白名单。 Python 不会再重新启用已经被 OpenSSL 安全更新所阻止的加密。 默认的加密套件选择可以在编译时进行配置。 （由 Christian Heimes 在 bpo-31429 中贡献。）

现在已支持包含国际化域名 (IDN) 的服务器证书验证。 作为此更改的一部分，SSLSocket.server_hostname 属性现在会以预期的 A 标签形式 (“pythön.org”)