Python 3.4.3安装pip失败及SSL证书报错解决

在 Python 3.4.3 环境下安装包管理工具 pip 时，用户常会遇到两类致命阻碍：直接运行官方最新的 get-pip.py 报语法错误或提示环境不受支持，或者在拉取依赖时抛出 [SSL: CERTIFICATE_VERIFY_FAILED] 和 [SSL: TLSV1_ALERT_PROTOCOL_VERSION] 报错。该问题的根源在于 Python 3.4 已被官方淘汰多年，现代 PyPA 官方服务切断了旧版脚本并全面下线了 TLS 1.0/1.1 协议，加之旧版运行环境缺少有效根证书。解决此问题无需复杂重装系统，核心是通过 Python 3.4 专用归档脚本 get-pip.py 锁定安装 pip 19.1.1，并配合信任域名参数或本地证书链来打通通信链路。

一、常见报错现象与错误分类识别

在 Python 3.4.3 下安装 pip 主要有通过系统自带的 ensurepip 模块和下载外部脚本 get-pip.py 两种方式。不同操作路径触发的错误具有明确特征，需首先精准定位故障类别：

• 脚本语法或版本中断错误：从 bootstrap.pypa.io/get-pip.py 直接下载最新脚本并在 Python 3.4.3 执行时，由于新版代码大量使用 Python 3.7+ 语法特性（如 f-string 或类型标注），解析器直接抛出 SyntaxError: invalid syntax，或提示 This version of Python is no longer supported。
• 证书链校验失败：使用 ensurepip 或旧版脚本请求网络包时，终端输出 urllib.error.URLError: <urlopen error [SSL: CERTIFICATE_VERIFY_FAILED] certificate verify failed (_ssl.c:600)>。这表明 Python 底层 OpenSSL 模块无法在本地信任库中找到 PyPI 服务器证书的根签发机构。
• TLS 协议版本告警：终端输出 ssl.SSLError: [SSL: TLSV1_ALERT_PROTOCOL_VERSION] tlsv1 alert protocol version (_ssl.c:600)。这是因为 PyPA 官方仓库自 2018 年起强制要求 TLS 1.2 及以上协议握手，而旧环境默认发起 TLS 1.0 握手被服务端直接阻断。

图 1：Python 3.4.3 安装 pip 时的主要阻断环节与错误分类

二、深层根因：TLS 协议下线与 PyPA 归档策略

要有效解决此故障，需要理解底层的依赖关系演进。Python 3.4.3 发布于 2015 年初，其内置的 ssl 模块直接依赖宿主机编译时的 OpenSSL 库。

第一，安全标准的代际升级。互联网工程任务组（IETF）废弃了 TLS 1.0 和 1.1 协议。PyPI 官方服务及 bootstrap.pypa.io 于 2018 年 4 月正式切断对旧版 TLS 协议的支持。如果 Python 3.4 运行在旧系统上，其动态链接的 OpenSSL 版本可能无法默认握手 TLS 1.2，导致网络请求在握手阶段即被 PyPI 服务器直接重置。

第二，证书信任库失效。在旧版 Windows 或 macOS 环境下，Python 并未直接与系统级证书存储区完美同步。由于 Let's Encrypt 等主流证书颁发机构在 2021 年进行了老旧根证书（如 DST Root CA X3）的替换轮转，缺乏自动更新机制的 Python 3.4 环境在校验现代 HTTPS 站点时必然抛出 CERTIFICATE_VERIFY_FAILED。

第三，工具链版本锁定。支持 Python 3.4 的最后一个 pip 官方版本为 19.1.1（发布于 2019 年 5 月），其对应的 setuptools 终极兼容版本为 43.0.0。任何试图拉取 pip 19.2 及以上版本的操作都会被安装器拒绝。PyPA 专门为 Python 3.4 保留了专属历史归档脚本，必须使用特定的 URL 获取。

图 2：Python 3.4.3 安装 pip 故障排查与决策路径

三、标准解决方案与实操步骤

遵循先消除版本语法矛盾，再解决网络握手和证书信任的逻辑，完整的标准处理步骤如下：

步骤 1：下载 Python 3.4 专用的归档 get-pip.py

不要使用不带版本路径的官方默认地址。PyPA 将支持 Python 3.4 的最后版本存放在特定归档路径下。若在当前机器上使用浏览器或具备现代 TLS 的外部下载工具（如外部 curl 或现代主机），请下载以下文件：

https://bootstrap.pypa.io/pip/3.4/get-pip.py

如果当前机器的 curl 工具支持 TLS 1.2，可在终端直接下载：

curl -O https://bootstrap.pypa.io/pip/3.4/get-pip.py

步骤 2：解决 SSL 证书链失效与执行安装

在执行脚本时，通常会遇到 CERTIFICATE_VERIFY_FAILED。最直接且有效的工程处理方式，是通过指定受信任主机（trusted-host）参数，允许临时跳过针对特定 PyPI 域名的证书链吊销与权威校验：

python get-pip.py --trusted-host pypi.org --trusted-host files.pythonhosted.org

如果需要同时安装指定版本的 setuptools 和 wheel，建议附加对应开关；但在网络受限或旧解释器环境中，推荐先仅安装 pip 核心以降低失败概率：

python get-pip.py --no-setuptools --no-wheel --trusted-host pypi.org --trusted-host files.pythonhosted.org

图 3：pip 19.1.1 标准实施安装与参数联动流水线

步骤 3：导入独立 CA 根证书（可选严苛方案）

如果在生产安全策略中不允许使用 --trusted-host 绕过证书校验，可手动引入权威 CA 机构维护的最新证书包 cacert.pem：

1. 从可靠渠道（如 curl 官方维护的 https://curl.se/ca/cacert.pem）下载最新的 PEM 格式根证书包，保存到本地（例如 C:\certs\cacert.pem 或 /etc/ssl/certs/cacert.pem）。
2. 通过参数显式指定证书路径：

   python get-pip.py --cert /path/to/cacert.pem

3. 或者通过设置环境变量指示底层 OpenSSL 读取：

   export SSL_CERT_FILE=/path/to/cacert.pem
   python get-pip.py

四、极端情况：本地 OpenSSL 不支持 TLS 1.2 时的离线注入方案

如果当前机器处于极其老旧的 Linux 发行版（如 CentOS 6 早期版本）或 Windows XP/2003，底层的 OpenSSL 可能为 0.9.8 或 1.0.0，在硬件级或库级别无法实现 TLS 1.2 握手，此时任何网络层面的安装尝试都会持续报错 TLSV1_ALERT_PROTOCOL_VERSION。对此必须采取完全脱离网络的离线 Wheel 注入法：

1. 在另一台联网正常的现代计算机上，访问 PyPI 官方网页直接下载兼容 Wheel 包：
   • pip-19.1.1-py2.py3-none-any.whl
   • setuptools-43.0.0-py2.py3-none-any.whl
2. 将 .whl 文件通过 U 盘、内网共享或 SCP 拷贝到目标计算机的目标工作目录。
3. Wheel 文件本质为标准 ZIP 归档。利用 Python 3.4 自带的 zipfile 模块直接将 wheel 解包到 Python 的库目录下：

   python -m zipfile -e pip-19.1.1-py2.py3-none-any.whl /path/to/python34/Lib/site-packages/

4. 验证 pip 模块是否成功识别：

   python -m pip --version

   若终端输出类似 pip 19.1.1 from ... (python 3.4)，即证明注入完成。

五、安装后配置：镜像源切换与信任固化

成功安装 pip 之后，直接执行 pip install [包名] 仍可能会再次因访问默认的官方源 pypi.org 而重现 SSL 证书错误。因此必须对 pip 进行持久化配置，重定向至国内高速镜像源并固化信任设置。

针对 Windows 平台，创建或修改配置文件 %APPDATA%\pip\pip.ini；针对 Linux/macOS 平台，创建或修改 ~/.pip/pip.conf，填入以下内容：

[global]
index-url = http://mirrors.aliyun.com/pypi/simple/
trusted-host = mirrors.aliyun.com
timeout = 120

图 4：Python 3.4.3 组件兼容上限与核心操作总结矩阵

六、排查总结与关键注意事项

在维护或调试 Python 3.4.3 遗留系统时，安装和使用 pip 应牢记以下三项边界原则：

• 切勿尝试升级 pip：安装完成后切勿执行 pip install --upgrade pip。新版 pip 安装程序会覆盖当前兼容版本，并在执行时因不兼容 Python 3.4 语法导致 pip 彻底损坏。
• 安装三方库需指定旧版本：现代很多常用 Python 库（如 Requests、NumPy、Pandas）已不再支持 Python 3.4。安装库时需查询其支持 3.4 的历史最高版本并显式指定，例如安装 Requests 应锁定为 pip install requests==2.21.0。
• 优先评估运行时升级：Python 3.4.3 早已停止所有安全补丁更新，除非存在硬件绑定、旧有闭源驱动或极其特殊的工业控制系统限制，否则应尽可能升级至受支持的现代 Python 版本，从根本上杜绝 TLS 协议与现代网络基础生态脱节的问题。