Python SSLContext 加载密钥链：处理加密私钥的策略

import ssl
import os
import subprocess

# 辅助函数：生成测试用的证书和私钥文件
# 在实际应用中，您应该使用现有的证书和私钥文件
def generate_test_certs_keys(cert_path, key_unencrypted_path, key_encrypted_path, passphrase="mysecretpassword"):
    """
    生成用于测试的自签名证书和两种私钥：
    1. 未加密的私钥
    2. 使用指定密码加密的私钥
    """
    # 确保目录存在
    os.makedirs(os.path.dirname(cert_path) or '.', exist_ok=True)

    # 生成 RSA 私钥 (未加密)
    print(f"Generating unencrypted key: {key_unencrypted_path}")
    subprocess.run(["openssl", "genrsa", "-out", key_unencrypted_path, "2048"], check=True)

    # 生成 RSA 私钥 (加密)
    print(f"Generating encrypted key: {key_encrypted_path}")
    subprocess.run(["openssl", "genrsa", "-aes256", "-passout", f"pass:{passphrase}", "-out", key_encrypted_path, "2048"], check=True)

    # 生成自签名证书
    print(f"Generating self-signed certificate: {cert_path}")
    # 使用未加密的私钥来生成证书请求和自签名证书
    subprocess.run([
        "openssl", "req", "-new", "-x509", "-key", key_unencrypted_path,
        "-out", cert_path, "-days", "365", "-subj", "/CN=localhost"
    ], check=True)
    print("Test certificate and keys generated successfully.")

# 自定义密码回调函数
def password_callback_fail_on_prompt():
    """
    当私钥需要密码时，此函数会被调用。
    它不提供密码，而是直接抛出异常，阻止程序挂起。
    """
    raise ValueError("私钥需要密码，但未提供或不允许交互式输入。")

# 加载证书链的函数
def load_certificate_chain(cert_file, key_file, password_handler=None):
    """
    尝试加载证书和私钥。
    如果私钥加密且 password_handler 导致错误，则捕获并打印。
    """
    try:
        context = ssl.SSLContext(ssl.PROTOCOL_TLS_SERVER)
        context.load_cert_chain(cert_file, key_file, password=password_handler)
        print(f"✅ 成功加载证书和私钥：'{cert_file}' 和 '{key_file}'")
        return context
    except ValueError as e:
        print(f"❌ 错误：加载密钥 '{key_file}' 失败 - {e}")
    except ssl.SSLError as e:
        print(f"❌ SSL错误：加载密钥 '{key_file}' 失败 - {e}")
    except FileNotFoundError:
        print(f"❌ 错误：文件未找到 - 证书 '{cert_file}' 或 私钥 '{key_file}'")
    except Exception as e:
        print(f"❌ 未知错误：加载密钥 '{key_file}' 失败 - {e}")
    return None

if __name__ == "__main__":
    # 定义文件路径
    CERT_FILE = "test_cert.pem"
    KEY_UNENCRYPTED_FILE = "test_key_unencrypted.pem"
    KEY_ENCRYPTED_FILE = "test_key_encrypted.pem"
    ENCRYPTION_PASSPHRASE = "mysecretpassword"

    # 生成测试文件（如果不存在）
    if not (os.path.exists(CERT_FILE) and os.path.exists(KEY_UNENCRYPTED_FILE) and os.path.exists(KEY_ENCRYPTED_FILE)):
        print("--- 正在生成测试证书和私钥文件 ---")
        generate_test_certs_keys(CERT_FILE, KEY_UNENCRYPTED_FILE, KEY_ENCRYPTED_FILE, ENCRYPTION_PASSPHRASE)
        print("-" * 40)
    else:
        print("--- 测试证书和私钥文件已存在，跳过生成 ---")
        print("-" * 40)

    print("\n--- 场景 1: 加载未加密的私钥 ---")
    print("预期行为: 成功加载，因为私钥不需要密码，回调函数不会被调用。")
    load_certificate_chain(CERT_FILE, KEY_UNENCRYPTED_FILE, password_callback_fail_on_prompt)

    print("\n--- 场景 2: 加载加密的私钥，使用自定义错误回调 ---")
    print("预期行为: 抛出 ValueError 异常，因为私钥需要密码，回调函数被调用并引发错误。")
    load_certificate_chain(CERT_FILE, KEY_ENCRYPTED_FILE, password_callback_fail_on_prompt)

    print("\n--- 场景 3: 加载加密的私钥，提供正确的密码 ---")
    print("预期行为: 成功加载，因为提供了正确的密码。")
    load_certificate_chain(CERT_FILE, KEY_ENCRYPTED_FILE, password=ENCRYPTION_PASSPHRASE)

    print("\n--- 场景 4: 加载加密的私钥，不提供密码 (将导致挂起或交互式提示) ---")
    print("预期行为: 程序可能挂起，等待用户输入密码，或者在自动化环境中表现异常。")
    print("警告: 在自动化脚本中应避免此场景！此处仅为演示默认行为。")
    # 如果您在非交互式环境中运行此代码，以下行可能会导致程序挂起。
    # 为了防止挂起，我们将其注释掉，您可以自行取消注释进行测试。
    # load_certificate_chain(CERT_FILE, KEY_ENCRYPTED_FILE, password=None)
    print("（此场景已注释，以避免在非交互式环境中挂起）")

    # 清理生成的测试文件
    # print("\n--- 清理测试文件 ---")
    # for f in [CERT_FILE, KEY_UNENCRYPTED_FILE, KEY_ENCRYPTED_FILE]:
    #     if os.path.exists(f):
    #         os.remove(f)
    #         print(f"Removed {f}")