海外云服务器 40个地区可选            亚太云服务器 香港 日本 韩国

云虚拟主机 个人和企业网站的理想选择            俄罗斯电商外贸虚拟主机 赠送SSL证书

美国云虚拟主机 助力出海企业低成本上云             拨号云主机

在当今高度互联的数字世界中,HTTPS 已成为网站安全通信的标配协议，无论是面向公众的生产系统，还是仅供内部使用的开发测试环境，启用 HTTPS 都能有效防范中间人攻击（MITM）、保障数据传输机密性与完整性。

而在本地开发、内网调试或私有化部署场景下，我们往往无需购买昂贵的商业证书。使用 OpenSSL 生成自签名 SSL 证书，便成了最具性价比、最灵活高效的解决方案。

本文将从零开始,手把手带你掌握如何通过 OpenSSL 创建一套完整的自签名证书体系，并成功部署到主流 Web 服务器（如 Nginx），助你轻松搭建一个“真·HTTPS”本地开发环境。

🔍 什么是自签名 SSL 证书？

自签名证书（Self-Signed Certificate），顾名思义，是由用户自己生成并签署的数字证书，而非由受信任的第三方证书颁发机构（CA，如 Let’s Encrypt、DigiCert 等）签发。

虽然主流浏览器默认不信任此类证书（访问时会提示“连接不安全”或显示红色警告），但在 本地开发、内部测试、CI/CD 流水线、私有 API 服务等封闭环境中，自签名证书完全能满足加密通信的核心需求 —— 身份验证 + 数据加密，且具备零成本、高可控、快速部署三大优势。

💡 小贴士：自签名 ≠ 不安全，只是缺乏“公信力”，在可控范围内，它完全可以胜任安全通信任务。

⚙️ 为什么选择 OpenSSL？

OpenSSL 是当前最主流、功能最强大的开源密码学工具包之一，支持生成密钥对、创建证书请求（CSR）、签署证书、管理 PKI 体系等核心功能。

其优势包括：

• ✅ 跨平台支持：Windows / Linux / macOS 均可运行；
• ✅ 命令行驱动：灵活高效，适合脚本化与自动化；
• ✅ 社区活跃、文档丰富：遇到问题极易找到解决方案；
• ✅ 工业标准：被 Apache、Nginx、Node.js 等广泛集成。

可以说,掌握 OpenSSL，就等于掌握了构建安全通信基础设施的钥匙。

🧰 准备工作：安装 OpenSSL

请确保你的系统已安装 OpenSSL，打开终端，输入以下命令验证：

openssl version

若提示命令未找到,请根据系统类型进行安装：

• Ubuntu / Debian：

  sudo apt update && sudo apt install openssl

• CentOS / RHEL / Fedora：

  sudo yum install openssl      # CentOS 7 及以下
  sudo dnf install openssl      # CentOS 8+ / Fedora

• macOS（推荐 Homebrew）：

  brew install openssl

• Windows 用户：

  • 推荐使用 Git Bash 或 WSL；
  • 或下载官方二进制包：https://www.openssl.org/

🧾 生成自签名 SSL 证书四步走

第一步：生成 RSA 私钥（Private Key）

私钥是整个证书体系的核心,必须严格保密，不可泄露。

openssl genrsa -out server.key 2048

✅ 安全建议：生产级应用推荐使用 4096 位密钥，提升破解难度：

openssl genrsa -out server.key 4096

第二步：创建证书签名请求（CSR）

虽然自签名证书无需提交给 CA，但通过 CSR 可以规范填写证书元信息（如组织、域名等），便于后续管理。

openssl req -new -key server.key -out server.csr

执行后,系统将引导你填写以下字段：

⚠️ 重要提醒：Common Name 必须与你实际访问服务所用的域名一致，否则浏览器将拒绝建立连接！

第三步：签署并生成自签名证书

使用私钥和 CSR 文件，生成有效期为 365 天的 X.509 证书：

openssl x509 -req -days 365 -in server.csr -signkey server.key -out server.crt

🚀 懒人模式：跳过 CSR 步骤，一步到位生成证书 + 私钥：

openssl req -x509 -nodes -days 365 -newkey rsa:2048 -keyout server.key -out server.crt

-nodes 表示不对私钥加密（无密码保护），方便自动化脚本调用。

第四步（可选）：合并为 PEM 格式文件

部分服务器（如 Node.js、某些 Docker 镜像）要求证书与私钥合并为单个 .pem 文件：

cat server.crt server.key > server.pem

🖥️ 部署到 Web 服务器（以 Nginx 为例）

编辑 Nginx 配置文件（通常位于 /etc/nginx/sites-available/default 或自定义 .conf 文件）：

server {
    listen 443 ssl http2;
    server_name localhost;
    ssl_certificate     /path/to/your/server.crt;
    ssl_certificate_key /path/to/your/server.key;
    ssl_protocols       TLSv1.2 TLSv1.3;
    ssl_ciphers         HIGH:!aNULL:!MD5;
    location / {
        root   /var/www/html;
        index  index.html index.htm;
    }
}

保存后重载配置：

sudo nginx -t        # 测试配置语法
sudo nginx -s reload # 平滑重启

🌐 如何让浏览器信任自签名证书？

首次访问时,浏览器会弹出“不安全”警告，解决方法如下：

手动导入根证书（推荐长期使用）

1. 将 server.crt 文件复制到桌面；
2. 双击打开 → 选择“安装证书” → 存储位置选择“受信任的根证书颁发机构”；
3. 完成导入后,重启浏览器即可消除警告。

✅ 支持 Chrome、Edge、Firefox（需单独导入）、Safari 等主流浏览器。

Chrome 临时豁免（仅限 localhost）

访问地址栏输入：

chrome://flags/#allow-insecure-localhost

启用该实验性功能后,Chrome 将允许 localhost 使用无效证书 —— 仅限开发调试，切勿用于生产环境！

⚠️ 常见问题 & 最佳实践

🎯 进阶技巧：添加 SAN（Subject Alternative Name）

现代浏览器（尤其是 Chrome 58+）强制要求证书包含 SAN（Subject Alternative Name）字段，否则即使域名匹配也会报错。

我们可以通过配置文件实现：

创建 ssl.conf：

[req]
distinguished_name = req_distinguished_name
req_extensions     = v3_req