在使用Python的包管理工具 pip 来安装依赖包时，许多开发者可能会选择使用像阿里云这样更快速的源。然而，有时会遇到类似这样的安全警告：“WARNING: The repository located at mirrors .aliyun.com is not a trusted or secure host and is being ignored. If this repository is available via HTTPS we recommend you use HTTPS instead, otherwise you may silence this waming and allow it anyway with '-trusted-host mirrors .aliyun.com”。此警告表示当前所使用的镜像源未被视为受信任或安全的源，这可能会导致安装失败。本文将详细探讨原因并提供多种解决方法，以消除这一警告并确保包管理的顺利进行。
🧑 博主简介：现任阿里巴巴嵌入式技术专家，15年工作经验，深耕嵌入式+人工智能领域，精通嵌入式领域开发、技术管理、简历招聘面试。CSDN优质创作者，提供产品测评、学习辅导、简历面试辅导、毕设辅导、项目开发、C/C++/Java/Python/Linux/AI等方面的服务，如有需要请站内私信或者联系任意文章底部的的VX名片（ID：gylzbk）
💬 博主粉丝群介绍：① 群内高中生、本科生、研究生、博士生遍布，可互相学习，交流困惑。② 热榜top10的常客也在群里，也有数不清的万粉大佬，可以交流写作技巧，上榜经验，涨粉秘籍。③ 群内也有职场精英，大厂大佬，可交流技术、面试、找工作的经验。④ 进群免费赠送写作秘籍一份，助你由写作小白晋升为创作大佬。⑤ 进群赠送CSDN评论防封脚本，送真活跃粉丝，助你提升文章热度。有兴趣的加文末联系方式，备注自己的CSDN昵称，拉你进群，互相学习共同进步。
【Python】解决Python报错：
- 问题背景
- 错误场景模拟
- 什么是 `pip` 警告“not a trusted or secure host”的原因？
- 1. 临时解决方法
- 1.1 使用 `--trusted-host`
- 1.2 使用 `--index-url`
- 2. 永久解决方法
- 2.1 修改 `pip` 配置文件
- Linux 和 MacOS
- Windows
- 配置文件内容
- 2.2 配置多源（可选）
- 3. 其他包管理工具的相似问题及解决方法
- 3.1 Node.js 的 `npm` 和 `yarn`
- `npm` 示例
- `yarn` 示例
- 3.2 Ruby 的 `gem`
- 3.3 PHP 的 `composer`
- 4. 验证镜像源的安全性
- 4.1 SSL/TLS 证书验证
- 4.2 官方支持和维护
- 4.3 社区反馈和评估
- 5. 演示与代码实现
- 5.1 临时解决方案示例
- 5.2 永久解决方案示例
- 6. 小结
问题背景
在使用Python的包管理工具 pip 来安装依赖包时，许多开发者可能会选择使用像阿里云这样更快速的源。然而，有时会遇到类似这样的安全警告：“WARNING: The repository located at mirrors .aliyun.com is not a trusted or secure host and is being ignored. If this repository is available via HTTPS we recommend you use HTTPS instead, otherwise you may silence this waming and allow it anyway with '-trusted-host mirrors .aliyun.com”。此警告表示当前所使用的镜像源未被视为受信任或安全的源，这可能会导致安装失败。本文将详细探讨原因并提供多种解决方法，以消除这一警告并确保包管理的顺利进行。
错误场景模拟
假设我们在没有进行任何配置的情况下，从阿里云镜像源直接安装一个Python包，例如 requests。
pip install requests --index-url http://mirrors.aliyun.com/pypi/simple
上述命令强制使用阿里云的HTTP源，并试图安装 requests 包。这将导致引发一个未信任源的警告和错误。执行上述命令后，终端会出现如下错误信息：
WARNING: The repository located at mirrors.aliyun.com is not a trusted or secure host and is being ignored. If this repository is available via HTTPS we recommend you use HTTPS instead, otherwise you may silence this warning and allow it anyway with '--trusted-host mirrors.aliyun.com'. ERROR: Could not find a version that satisfies the requirement requests (from versions: none) ERROR: No matching distribution found for requests
什么是 pip 警告“not a trusted or secure host”的原因？
pip（Python的包管理工具）在设计上考虑了安全问题，在安装过程中会检查所用的仓库是否为可信的和安全的。信任和安全的来源指仓库必须提供有效的SSL证书，且该证书必须由受信任的证书颁发机构（CA）签署。遇到“WARNING: The repository located at mirrors.aliyun.com is not a trusted or secure host and is being ignored…”的警告，通常有以下几种原因：
- SSL证书问题：仓库未配置正确的证书，或证书无效。
- HTTP协议问题：建议使用 HTTPS 而非 HTTP 进行数据传输。
- pip信任设置问题：pip 默认不信任自定义源，需要显式配置为可信源。
- 源的信誉和安全性：镜像源的信誉未被明确认证。在某些情况下，pip 内置的来源不同于自定义镜像源而被视为不可信。
1. 临时解决方法
临时解决方法适用于单次命令行操作。这是最快捷的方式来跳过警告，继续安装包。
1.1 使用 --trusted-host
在 pip 命令后添加 --trusted-host 参数，可以暂时将镜像源视为可信的：
pip install
--trusted-host mirrors.aliyun.com 例如，安装 requests 包：
pip install requests --trusted-host mirrors.aliyun.com
1.2 使用 --index-url
有时不仅需将镜像源设为受信任，还需要同时指定该镜像源为索引 URL：
pip install
--trusted-host mirrors.aliyun.com --index-url https://mirrors.aliyun.com/pypi/simple 2. 永久解决方法
如果想要永久解除这一警告，可以通过修改 pip 配置文件来实现。这样每次使用时都不必再手动添加 --trusted-host 选项。
2.1 修改 pip 配置文件
Linux 和 MacOS
在用户目录下创建或修改 .pip/pip.conf 文件：
mkdir -p ~/.pip nano ~/.pip/pip.conf
Windows
在用户目录下创建或修改 pip/pip.ini 文件：
mkdir %HOMEPATH%\pip notepad %HOMEPATH%\pip\pip.ini
配置文件内容
在配置文件中添加以下内容：
[global] index-url = https://mirrors.aliyun.com/pypi/simple trusted-host = mirrors.aliyun.com
这个配置将阿里云的镜像设置为默认的索引 URL，并将其标记为受信任的主机。
2.2 配置多源（可选）
有时可能需要配置多个源，或者需要保留官方源以备不时之需。这时可以在配置文件中添加多个索引和受信任的主机：
[global] index-url = https://mirrors.aliyun.com/pypi/simple extra-index-url = https://pypi.org/simple trusted-host = mirrors.aliyun.com trusted-host = pypi.org
这种配置可以确保当主源不可用时，pip可以回退到官方源。
3. 其他包管理工具的相似问题及解决方法
其他编程语言的包管理工具有时也可能会遇到类似的安全警告。以下是常见的一些包管理工具及其警告解决方法。
3.1 Node.js 的 npm 和 yarn
若 npm 或 yarn 使用镜像源时遇到信任问题，可以通过如下命令解决：
npm 示例
npm config set registry https://registry.npm.taobao.org/ npm install
--registry=https://registry.npm.taobao.org/ yarn 示例
yarn config set registry https://registry.npm.taobao.org/ yarn add
--registry=https://registry.npm.taobao.org/ 3.2 Ruby 的 gem
若 gem 遇到相似问题：
gem sources --add https://gems.ruby-china.com/ --remove https://rubygems.org/ gem install
--source https://gems.ruby-china.com 3.3 PHP 的 composer
Composer在使用时如遇到不受信任的主机问题，可以修改全局配置或具体的包管理配置：
composer config -g repo.packagist composer https://packagist.phpcomposer.com composer require
--prefer-dist 4. 验证镜像源的安全性
选择和使用第三方镜像源时，应验证其安全性以避免潜在的风险。以下方法可以帮助验证镜像源的安全性。
4.1 SSL/TLS 证书验证
确保镜像源使用有效的SSL/TLS证书。可以通过浏览器访问镜像源并查看其证书详细信息来确认证书的有效性。
4.2 官方支持和维护
选择官方支持和维护的镜像源，通常会可靠且长期可用。例如：
- 中国科学技术大学：https://pypi.mirrors.ustc.edu.cn
- 清华大学：https://pypi.tuna.tsinghua.edu.cn
这些源经过长时间的社区使用测试，被证明可信和高效。
4.3 社区反馈和评估
通过开发者社区（如Stack Overflow、相关技术论坛等）查询其他用户对特定镜像源的反馈和评价。这样可以更全面地了解该镜像源的信誉和安全性。
5. 演示与代码实现
为了更形象地展示上述解决方案，这里提供一个简单的Python示例代码，基于临时解决方法和永久解决方法两种情景。
5.1 临时解决方案示例
import subprocess # 需要安装的包列表 packages = ['requests', 'numpy'] # 临时使用trust-host进行安装 for package in packages: command = ['pip', 'install', package, '--trusted-host', 'mirrors.aliyun.com', '--index-url', 'https://mirrors.aliyun.com/pypi/simple'] subprocess.run(command)5.2 永久解决方案示例
自动创建及配置 .pip/pip.conf 文件（Linux和MacOS）：
import os # 包管理配置路径 pip_conf_path = os.path.expanduser('~/.pip/pip.conf') os.makedirs(os.path.dirname(pip_conf_path), exist_ok=True) # 配置内容 config_content = """ [global] index-url = https://mirrors.aliyun.com/pypi/simple trusted-host = mirrors.aliyun.com """ # 写入配置文件 with open(pip_conf_path, 'w') as config_file: config_file.write(config_content) print(f"Configuration written to {pip_conf_path}")6. 小结
在使用包管理工具时，处理“not a trusted or secure host”的警告非常重要。本文详细阐述了解决这一警告的多种方法，包括临时解决方法和永久解决方案。并通过比较和示范其他常见包管理工具的相似问题及解决方法，进一步帮助开发者解决类似问题。此外，还阐述了验证镜像源安全性的方法，以确保镜像源使用的安全和可靠。通过这些解决方案，开发者可以更高效、更安全地使用自定义镜像源，从而提高开发效率。