python证书过期如何检测

在Python中检测证书过期可以通过以下几种方法：使用Python的SSL库、利用requests库结合OpenSSL工具、手动解析证书信息。其中，使用Python的SSL库是一种较为直接的方法。利用SSL库可以建立到服务器的连接并获取证书信息，然后分析证书的有效期字段来判断证书是否过期。具体来说，通过 ssl.get_server_certificate 可以获取服务器的证书，然后使用 ssl.PEM_cert_to_DER_cert 和 ssl.DER_cert_to_PEM_cert 转换格式，最后使用 ssl.cert_time_to_seconds 检查日期。这个方法需要了解SSL库的基本操作和证书的结构信息。

一、使用SSL库检测证书过期

Python的SSL库提供了对加密和证书的支持，通过这个库可以与服务器建立安全连接，并获取其数字证书。检测证书过期可以通过以下步骤：

建立SSL连接并获取证书

使用Python的ssl库可以方便地与服务器建立SSL连接，并获取服务器的证书。首先需要导入ssl和socket库，然后使用socket创建一个普通的TCP连接，接着使用ssl.wrap_socket将其包装为SSL连接。通过这个连接，你可以调用getpeercert()方法获取服务器的证书。

import ssl
import socket
def get_certificate(hostname, port=443):
    context = ssl.create_default_context()
    with socket.create_connection((hostname, port)) as sock:
        with context.wrap_socket(sock, server_hostname=hostname) as ssock:
            return ssock.getpeercert()
cert = get_certificate('www.example.com')

解析证书有效期

证书信息是一个字典，其中包含了证书的各个字段。有效期的信息通常在'notBefore'和'notAfter'字段中，以字符串形式表示。可以使用ssl.cert_time_to_seconds将其转换为时间戳，然后与当前时间进行比较。

import time
def is_cert_expired(cert):
    not_after = ssl.cert_time_to_seconds(cert['notAfter'])
    current_time = time.time()
    return current_time > not_after
expired = is_cert_expired(cert)
if expired:
    print("Certificate has expired")
else:
    print("Certificate is valid")

二、使用requests库结合OpenSSL工具

requests库是Python中一个常用的HTTP请求库，但它本身不提供直接获取证书详细信息的功能。我们可以通过requests库建立连接，然后使用OpenSSL工具对证书进行分析。

获取证书

使用requests库可以方便地发送HTTP请求，建立与服务器的连接。在连接建立时，requests库会自动验证服务器的证书。如果需要获取证书详细信息，可以在Python脚本中调用OpenSSL命令行工具来获取。

import subprocess
def get_certificate_openssl(hostname):
    command = f"echo | openssl s_client -connect {hostname}:443 -servername {hostname} | openssl x509 -noout -dates"
    result = subprocess.run(command, shell=True, capture_output=True, text=True)
    return result.stdout
cert_info = get_certificate_openssl('www.example.com')
print(cert_info)

解析证书有效期

通过OpenSSL命令行工具获取的证书信息中包含了有效期字段，可以通过正则表达式解析出notBefore和notAfter字段的值，进行比较以判断证书是否过期。

import re
from datetime import datetime
def parse_cert_dates(cert_info):
    not_after_match = re.search(r'notAfter=(.+)', cert_info)
    if not_after_match:
        not_after_str = not_after_match.group(1).strip()
        not_after = datetime.strptime(not_after_str, '%b %d %H:%M:%S %Y %Z')
        return not_after
not_after = parse_cert_dates(cert_info)
current_time = datetime.utcnow()
if current_time > not_after:
    print("Certificate has expired")
else:
    print("Certificate is valid")

三、手动解析证书信息

除了使用库和工具外，还可以手动解析证书信息来检测过期。这种方法通常需要对证书的结构有比较深入的了解。

获取证书

可以通过手动访问HTTPS服务器的方式获取证书内容，然后解析其中的字段。获取证书的内容通常是通过网络请求的方式或者从本地文件读取。

def get_certificate_manual(hostname):
    # 假设证书已经以文本形式存储在本地
    with open(f"{hostname}.crt", "r") as cert_file:
        cert_content = cert_file.read()
    return cert_content
cert_content = get_certificate_manual('www.example.com')

解析证书有效期

证书的内容通常是PEM格式，需要解析其中的有效期字段。可以使用正则表达式或其他字符串处理方法提取notBefore和notAfter字段的值，进行比较以判断证书是否过期。

import re
from datetime import datetime
def parse_cert_dates_manual(cert_content):
    not_after_match = re.search(r'Not After : (.+)', cert_content)
    if not_after_match:
        not_after_str = not_after_match.group(1).strip()
        not_after = datetime.strptime(not_after_str, '%b %d %H:%M:%S %Y %Z')
        return not_after
not_after = parse_cert_dates_manual(cert_content)
current_time = datetime.utcnow()
if current_time > not_after:
    print("Certificate has expired")
else:
    print("Certificate is valid")

四、结合第三方库进行证书分析

在Python生态中，还有一些第三方库可以帮助我们更方便地进行证书分析和过期检测。例如，cryptography库提供了丰富的API来处理证书相关的操作。

使用cryptography库

cryptography库是一个功能强大的加密库，提供了对证书的详细操作能力。可以使用这个库从字节流中解析证书，并检查其有效期。

from cryptography import x509
from cryptography.hazmat.backends import default_backend
import ssl
import socket
def get_certificate_cryptography(hostname, port=443):
    context = ssl.create_default_context()
    with socket.create_connection((hostname, port)) as sock:
        with context.wrap_socket(sock, server_hostname=hostname) as ssock:
            der_cert = ssock.getpeercert(binary_form=True)
            cert = x509.load_der_x509_certificate(der_cert, default_backend())
            return cert
cert = get_certificate_cryptography('www.example.com')

解析证书有效期

使用cryptography库解析出的证书对象中包含了有效期的信息，通过访问其not_valid_after属性可以直接获取证书的有效期终止时间。

from datetime import datetime
def is_cert_expired_cryptography(cert):
    not_after = cert.not_valid_after
    current_time = datetime.utcnow()
    return current_time > not_after
expired = is_cert_expired_cryptography(cert)
if expired:
    print("Certificate has expired")
else:
    print("Certificate is valid")

五、自动化证书检测和报警

对于生产环境而言，手动检测证书过期并不现实，因此可以结合自动化工具和脚本实现证书检测和报警功能。

定时检测

可以使用定时任务（如cron）定期运行检测脚本，检查证书的有效期。如果发现证书即将过期或已经过期，可以触发报警机制。
```
# 在Linux系统中，可以使用crontab设置定时任务
每天凌晨1点运行检测脚本
0 1 * * * /usr/bin/python3 /path/to/cert_check_script.py
```

设置报警机制

当检测到证书即将过期时，可以通过邮件、短信或其他通知方式提醒相关人员进行处理。可以使用Python的SMTP库发送邮件或结合第三方API发送通知。

import smtplib
from email.mime.text import MIMEText
def send_alert_email(subject, body, to_email):
    from_email = "your_email@example.com"
    msg = MIMEText(body)
    msg['Subject'] = subject
    msg['From'] = from_email
    msg['To'] = to_email
    with smtplib.SMTP('smtp.example.com') as server:
        server.login(from_email, "your_password")
        server.sendmail(from_email, [to_email], msg.as_string())
if expired:
    send_alert_email("Certificate Expiry Alert", "The certificate has expired.", "admin@example.com")