dbt-core 在 Windows 系统上修改 cacert.pem 证书文件的问题解析

问题现象

当用户在 Windows 系统上安装 dbt-core 并尝试访问 hub.getdbt.com 时，系统会意外修改本地 cacert.pem 证书文件。具体表现为：

1. 文件内容被大幅增加（约增加2000行）
2. 其中包含已过期的旧证书
3. 导致后续 SSL 证书验证失败，出现 "CERTIFICATE_VERIFY_FAILED" 错误

问题根源

经过分析，这个问题主要与 Windows 系统上的两个 Python 包有关：

1. python-certifi-win32：该包会修改 certifi 的行为，使其使用 Windows 系统证书存储而非内置的信任存储
2. pip-system-certs：这个包会在运行时修补 pip 和 requests，强制使用系统默认证书存储

这些包的设计初衷是为了让 Python 能够更好地与 Windows 证书系统集成，但在某些情况下会导致证书文件被意外修改。

解决方案

要解决这个问题，可以采取以下步骤：

1. 卸载可能干扰证书管理的包：

python -m pip uninstall python-certifi-win32
python -m pip uninstall pip-system-certs

2. 确保使用标准的 certifi 包管理证书

3. 验证 cacert.pem 文件是否恢复正常

技术背景

在 Python 生态系统中，certifi 包负责提供 Mozilla 的 CA 证书集合，用于 SSL/TLS 验证。正常情况下：

• certifi 会维护一个固定的证书集合
• 这个集合通常位于 Python 环境的 site-packages/certifi 目录下
• 应用程序通过 requests 等库进行 HTTPS 请求时会使用这些证书

Windows 系统由于其特有的证书管理机制，一些第三方包试图"增强"这一行为，但有时会导致意料之外的问题。

最佳实践建议

1. 在 Windows 上使用 dbt-core 时，避免安装可能干扰证书管理的额外包
2. 定期检查 cacert.pem 文件的内容，确保没有异常修改
3. 如果必须使用系统证书，考虑通过环境变量明确指定证书路径，而不是依赖自动修改机制
4. 保持 dbt-core 和相关依赖包的最新版本

总结

这个问题展示了在 Windows 环境下 Python 证书管理可能遇到的特殊情况。通过理解底层机制和采取适当的配置措施，可以确保 dbt-core 和其他 Python 工具在 Windows 上的稳定运行。对于遇到类似 SSL 验证问题的用户，检查证书相关依赖包应该是排查步骤之一。