Python 3.4.4 中 pip 安装失败或 SSL 报错怎么解决

一、根因剖析：为什么 Python 3.4.4 会出现 SSL 协议与 pip 安装故障？

Python 3.4.4 发布于 2015 年 12 月，是 Python 3.4 系列中最后一个官方支持 Windows XP 的二进制安装包。在历史系统或老旧服务器维护中，当尝试使用其自带的 pip 安装第三方库时，几乎 100% 会遭遇网络中断或红字报错。深入网络协议与软件包生态，故障主要由以下三条技术红线共同导致：

1. TLS 1.2 强制升级与握手协议版本断代

报错典型特征为：ssl.SSLError: [SSL: TLSV1_ALERT_PROTOCOL_VERSION] tlsv1 alert protocol version (_ssl.c:600)。2018 年 4 月，Python 官方包索引源 PyPI（pypi.org）及其 CDN 供应商 Fastly 遵循 PCI-DSS 3.1 安全合规标准，彻底废弃了存在安全隐患的 TLS 1.0 和 TLS 1.1 协议，强制要求客户端采用 TLS 1.2 或更高版本。Python 3.4.4 默认编译捆绑的 OpenSSL 版本为 1.0.1l，在较老的操作系统环境下，其内部网络库（包括内置的 pip 7.1.2 和 urllib3）默认握手优先使用 TLS 1.0，从而在 Client Hello 阶段即被 PyPI 边缘服务器直接返回 Alert 阻断握手。

2. 根证书库过期导致 CERTIFICATE_VERIFY_FAILED

报错典型特征为：ssl.SSLError: [SSL: CERTIFICATE_VERIFY_FAILED] certificate verify failed (_ssl.c:600)。Python 3.4 开始引入严苛的默认证书校验机制。随着 Let's Encrypt 等权威证书颁发机构在 2021 年前后轮换根证书（例如 DST Root CA X3 过期转向 ISRG Root X1），老旧系统未打补丁的本地根证书信任库无法正确验证现代 HTTPS 证书链，直接抛出信任链校验失败异常。

3. 现代 pip 代码与 Python 3.4 语法断代

若读者尝试执行常见的 python -m pip install --upgrade pip 或从 PyPA 官网直接下载通用的 get-pip.py 脚本，终端将抛出 SyntaxError（例如出现变量类型注解或现代异步语法报错）。这是因为 pip 团队早在 2019 年 5 月发布的 pip 19.1.1 后便彻底终止了对 Python 3.4 的兼容。未做版本限定的升级操作会下载现代版 pip 源码，导致本地原本可用的旧 pip 环境彻底损毁。

二、故障排查：四步定位你的具体报错类型

在动手修改任何配置之前，切忌盲目尝试网上的各类零散命令。应当首先通过系统内置命令确认当前 Python 3.4.4 环境的具体能力边界：

1. 探测本地 OpenSSL 版本与 TLS 1.2 支持状态

在命令行终端（CMD 或 Bash）中直接运行以下检测单行代码：

python -c "import ssl; print('OpenSSL Version:', ssl.OPENSSL_VERSION); import urllib.request; print(urllib.request.urlopen('https://howsmyssl.com/a/check').read().decode())"

检测结果分析：

• 若输出中清晰打印了 "tls_version": "TLS 1.2"，说明当前操作系统与 Python 底层具备 TLS 1.2 能力，通常只需升级 pip 与更新证书库即可恢复正常联网（参考解决路径一）。
• 若在请求时直接抛出 [SSL: TLSV1_ALERT_PROTOCOL_VERSION] 或 [WinError 10054]，说明底层 OpenSSL 或操作系统内核完全不支持现代加密协商（如 Windows XP 原生环境），必须采取离线 Wheel 装配或受信任源绕行（参考解决路径二）。

2. 查看当前 pip 版本与安装路径

python -m pip --version

标准 Python 3.4.4 初始安装后通常显示为 pip 7.1.2 from ... (python 3.4)。若出现 No module named pip，说明初始安装时未勾选 pip 组件或已被误删破坏，需直接执行专用脚本重装。

三、解决路径一：通过官方专用引导脚本升级至 pip 19.1.1（系统支持 TLS 1.2）

如果经过前述排查，确认你的操作系统具备 TLS 1.2 握手能力（例如 Windows 7 SP1 已安装 KB3140245 补丁、Windows 10/11，或 Ubuntu 16.04+ 等现代 Linux），可以通过 PyPA 官方归档的专用引导脚本完成规范升级。

步骤 1：下载 Python 3.4 专属引导脚本

使用现代浏览器或外部可用下载工具访问专属归档地址，将文件下载并保存至本地工作目录（例如 C:\py34_fix\get-pip.py）：

https://bootstrap.pypa.io/pip/3.4/get-pip.py

步骤 2：注入版本约束执行引导安装

打开终端，切换至保存脚本的目录，运行以下命令。必须显式指定 pip、setuptools 和 wheel 的最高兼容版本号：

python get-pip.py "pip==19.1.1" "setuptools<44" "wheel<0.34"

命令参数深度解析：

• pip==19.1.1：锁定 Python 3.4 所支持的最后一个 pip 版本。
• setuptools<44：setuptools 在 44.0.0 版本后彻底移除 Python 3.4 支持，锁定至小于 44（实际将安装 43.8.0）。
• wheel<0.34：wheel 包构建工具自 0.34 起停止支持 3.4，锁定至 0.33.6。

步骤 3：验证安装结果

python -m pip --version

终端应返回类似以下确认输出：

pip 19.1.1 from C:\Python34\lib\site-packages\pip (python 3.4)

此时升级后的 pip 内部自带经过更新的内联证书链与 TLS 1.2 支持逻辑，可以正常执行标准安装命令。

四、解决路径二：无 TLS 1.2 支持环境下的离线安装与镜像绕行方案

在 Windows XP 工业控制计算机、嵌入式老旧设备或受到物理隔离的局域网环境中，底层操作系统缺乏 TLS 1.2 的内核支持，任何向公网 HTTPS 发起的请求都无法建立安全隧道。此时应放弃公网在线安装，采用工程级离线方案。

方案 A：双机协同离线 Wheel 本地装配（最推荐、最稳健）

该方案利用一台拥有正常网络的现代开发机负责解析依赖并下载对应平台与 ABI 的二进制轮子包，再通过 U 盘拷贝至 Python 3.4.4 目标机完成本地装配，彻底脱离网络与 SSL 校验。

第一步：在联网的现代开发机上批量下载兼容包

在现代主机上（安装有任一 Python 3.7+ 环境），通过 pip download 指定目标环境的 python-version、abi 和 platform 标志。以安装 requests 及其所有关联依赖为例：

pip download   --only-binary=:all:   --python-version 34   --abi cp34m   --platform win32   -d ./py34_packages   requests

该命令会自动下载适用于 Python 3.4 32位环境的所有 .whl 文件（包括 urllib3、chardet、idna、certifi 等）至 ./py34_packages 目录。

第二步：将目录拷贝至 Python 3.4.4 目标机并在本地安装

将 py34_packages 文件夹复制到目标机的 D:\packages，然后在目标机终端中执行：

pip install --no-index --find-links=D:\packages requests

标志含义：--no-index 明确禁止 pip 向任何远程索引服务器发送网络请求；--find-links 指向本地磁盘目录。pip 将直接从本地读取轮子包并完成解压注册，全程耗时数秒且 100% 免疫任何网络及 SSL 报错。

方案 B：使用 HTTP 镜像源与 --trusted-host 标志临时绕行

如果目标机器能够访问公网，但仅受阻于 SSL 握手与证书验证，可以通过知名国内镜像站的 HTTP 协议端口，并配合 --trusted-host 信任标志绕过安全阻断：

pip install -i http://mirrors.aliyun.com/pypi/simple/ --trusted-host mirrors.aliyun.com requests

为了避免每次手动输入长参数，可在目标机创建永久配置文件：

• Windows 系统：创建 %APPDATA%\pip\pip.ini
• Linux 系统：创建 ~/.pip/pip.conf

在文件中写入以下内容：

[global]
index-url = http://mirrors.aliyun.com/pypi/simple/
trusted-host = mirrors.aliyun.com
timeout = 60

五、解决路径三：证书校验失败（CERTIFICATE_VERIFY_FAILED）专项修复

若报错信息中明确包含 CERTIFICATE_VERIFY_FAILED 且并非协议版本警告，通常意味着当前系统的根证书链条陈旧。以下提供两种直接修复手段：

1. 更新 Python 内部使用的 certifi 根证书包

Python 内部网络库广泛使用 certifi 提供的 Mozilla 根证书合集。由于 Python 3.4 无法支持最新的 certifi，必须指定其最终兼容版本：

pip install --upgrade "certifi<=2020.6.20"

2. 手动指定全局 CA 证书文件路径

如果无法联网更新 certifi，可以从官方渠道（如 https://curl.se/ca/cacert.pem）使用现代浏览器下载最新的 cacert.pem 文件，将其放置于 C:\Python34\cacert.pem，然后设置系统环境变量：

• Windows CMD 临时生效：
  set SSL_CERT_FILE=C:\Python34\cacert.pem
• Windows 系统永久生效：在“系统属性” → “环境变量”中新增系统变量 SSL_CERT_FILE，值为 C:\Python34\cacert.pem。

六、总结与维护规范：Python 3.4.4 依赖管理核心原则

在维护 Python 3.4.4 这类已经长期处于生命周期终点（EOL）的特定生产环境时，开发与运维人员必须建立严格的“版本确定性”思维。任何动态、无边界的安装指令都会为系统带来雪崩式风险。

生产运维的“三不”原则：

1. 绝不执行无版本的升级：严禁使用 pip install -U pip 或任何不带 == 的安装命令。
2. 绝不使用通用 get-pip 脚本：必须锁定 /pip/3.4/get-pip.py 历史专用链接。
3. 项目依赖必须硬编码固化：所有项目的 requirements.txt 必须显式声明精确版本号（如 six==1.15.0），并建议在内部文件服务器中对所有 cp34m 的 .whl 依赖包进行全量物理镜像备份。