问题背景与现象
在使用dput工具将.deb包上传至基于https协议的debian仓库，特别是当仓库使用自签名ssl证书时，用户可能会遇到ssl证书验证失败的问题。尽管系统级别可能已将自签名证书添加到信任列表（例如通过update-ca-certificates），dput在执行上传操作时仍可能报告以下错误：
Uploadingusing https to gitlab (host: : @gitlab.mydomain.com; directory: /api/v4/projects/ /packages/debian) ...
这通常发生在dput内部调用的Python HTTP客户端无法正确识别或信任自签名证书链时。即使尝试了多种常见的Python SSL配置调整，问题可能依然存在，导致上传过程中断。
核心解决方案：禁用dput的SSL验证
为了绕过dput工具因自签名证书而产生的SSL验证失败，一个直接且有效的解决方案是修改dput的Python脚本，强制其禁用SSL证书验证。这可以通过在dput脚本的特定位置注入Python代码来实现。
dput工具是用Python编写的，因此我们可以利用Python的ssl模块来修改其默认的HTTPS上下文行为。具体而言，我们需要设置ssl._create_default_https_context = ssl._create_unverified_context，这将使所有后续的HTTPS连接忽略证书验证。
操作步骤
定位dput脚本文件dput工具通常位于/usr/bin/dput。
-
执行修改命令 使用sed命令将所需的Python代码注入到dput脚本的第24行。这个命令会在不打开文件的情况下完成修改：
sudo sed -i '24s/^/import ssl\nssl._create_default_https_context = ssl._create_unverified_context\n/' /usr/bin/dput
命令解析：
- sudo: 以管理员权限运行，因为/usr/bin/dput是系统文件。
- sed -i: 直接修改文件内容。
- '24s/^/...': 在文件的第24行行首插入内容。
- import ssl\nssl._create_default_https_context = ssl._create_unverified_context\n: 这两行Python代码将被插入。\n用于换行。
-
重新配置dput.cf（如果需要） 确保您的dput.cf配置文件正确指向GitLab仓库，例如：
[gitlab] method = https fqdn =
: @gitlab.mydomain.com incoming = /api/v4/projects/ /packages/debian -
执行dput上传 现在，您可以尝试重新运行dput命令上传您的.changes文件：
dput --config=dput.cf --unchecked --no-upload-log gitlab
_1.0.1_amd64.changes 此时，dput应该能够成功建立HTTPS连接并上传Debian包，而不再报告SSL证书验证失败。
注意事项与风险提示
- 安全性风险： 禁用SSL证书验证会使您的连接容易受到中间人攻击。强烈建议仅在您完全信任的网络环境和自控的服务器上使用此方法。 对于公共网络或不信任的服务器，应始终坚持使用有效的、受信任的SSL证书。
- 临时性解决方案： 这种修改是直接针对dput脚本文件进行的。系统更新或dput包的重新安装可能会覆盖此修改，届时您需要重新应用此修复。
- 版本兼容性： 本文中的sed命令基于dput脚本的特定结构（第24行），未来dput版本更新可能改变其内部结构，导致此命令失效。届时可能需要根据新的脚本结构调整插入位置。
总结
通过直接修改dput的Python脚本以禁用SSL证书验证，可以有效解决在私有GitLab等环境中使用自签名证书时dput上传Debian包遇到的CERTIFICATE_VERIFY_FAILED错误。虽然此方法提供了即时的问题解决能力，但用户必须充分了解其潜在的安全风险，并仅在受控且信任的环境中谨慎使用。对于生产环境或对安全性有严格要求的场景，建议投入精力解决证书信任链问题，而非绕过验证。
