Windows下使用OpenSSL生成自签名HTTPS证书教程-代码聚汇网

Windows下使用OpenSSL生成自签名HTTPS证书教程

自签名证书OpenSSLHTTPS

|难度：普通|阅读约 9 分钟

1. 为什么需要自签名证书？

在Windows环境下开发Web应用或搭建本地测试环境时，HTTPS加密连接已成为现代开发的标配需求。自签名证书作为一种快速解决方案，能够在不依赖商业CA机构的情况下，为开发者和测试人员提供加密通信能力。

我最近在为一个企业内部系统做本地测试时，就遇到了需要快速部署HTTPS服务的场景。使用OpenSSL生成自签名证书后，不仅解决了浏览器安全警告问题，还让我对证书体系有了更深入的理解。下面就把这套经过实战验证的方法分享给大家。

需要模型API调用？免费领10W Token，多模型网关一键接入 Claude、DeepSeek 等主流模型。

2. 准备工作与环境配置

2.1 OpenSSL的安装与验证

首先需要获取OpenSSL的Windows版本。推荐从官方镜像站下载最新稳定版（目前是1.1.1w版本）。安装时注意勾选"Add OpenSSL to the system PATH"选项，这样可以直接在命令行中使用。

安装完成后，打开CMD或PowerShell验证：

bash复制openssl version

正常应显示类似"OpenSSL 1.1.1w 11 Sep 2023"的版本信息。如果报错，请检查环境变量PATH中是否包含OpenSSL的bin目录路径。

2.2 创建工作目录

建议在非系统盘创建专门目录存放证书文件：

bash复制mkdir C:\MyCerts
cd C:\MyCerts

3. 生成自签名证书详细步骤

3.1 创建私钥文件

首先生成2048位的RSA私钥：

bash复制openssl genrsa -out mykey.key 2048

这里选择2048位是兼顾安全性和性能的平衡点。对于测试环境足够安全，又不至于影响性能。

3.2 创建证书签名请求(CSR)

使用刚生成的私钥创建CSR：

bash复制openssl req -new -key mykey.key -out mycsr.csr

执行后会交互式询问证书信息：

Country Name：国家代码（CN）
State or Province：省份
Locality Name：城市
Organization Name：组织名称
Organizational Unit Name：部门名称
Common Name：最重要的字段！填写要使用证书的域名或IP
Email Address：管理员邮箱

注意：Common Name必须与最终访问地址完全一致，否则浏览器会报证书不匹配错误。

3.3 生成自签名证书

最后一步生成证书：

bash复制openssl x509 -req -days 365 -in mycsr.csr -signkey mykey.key -out mycert.crt

这里设置了365天的有效期，对于测试环境足够。生产环境建议不超过90天。

4. 证书的安装与使用

4.1 将证书导入Windows证书存储

双击mycert.crt文件
选择"安装证书"
存储位置选择"本地计算机"
选择"将所有证书放入下列存储"，点击"浏览"选择"受信任的根证书颁发机构"
完成导入

4.2 在Web服务器中配置

以IIS为例：

打开IIS管理器
选择站点→绑定→添加HTTPS绑定
选择导入的证书
端口设置为443

对于Apache/Nginx，需要将.key和.crt文件放在指定目录，然后在配置文件中指定路径。

5. 常见问题与解决方案

5.1 证书不受信任警告

即使导入了根证书，某些浏览器仍可能显示警告。这是因为证书没有通过商业CA验证。在Chrome中可以通过以下步骤临时信任：

在警告页面输入"thisisunsafe"（无引号）
或进入chrome://flags/#allow-insecure-localhost启用相关选项

5.2 证书链问题

如果遇到"证书链不完整"错误，可以尝试将证书导出为包含完整链的PFX格式：

bash复制openssl pkcs12 -export -out mycert.pfx -inkey mykey.key -in mycert.crt

5.3 证书过期处理

测试时经常忘记证书有效期。可以通过以下命令查看证书详情：

bash复制openssl x509 -in mycert.crt -text -noout

发现过期后，只需重复生成步骤即可。

6. 进阶技巧与优化

6.1 一键生成脚本

将以下内容保存为makecert.bat：

batch复制@echo off
set OPENSSL_CONF=C:\OpenSSL-Win64\bin\openssl.cfg
openssl genrsa -out server.key 2048
openssl req -new -key server.key -out server.csr -subj "/C=CN/ST=Beijing/L=Beijing/O=MyOrg/OU=IT/CN=localhost"
openssl x509 -req -days 365 -in server.csr -signkey server.key -out server.crt

6.2 多域名支持

要支持多个域名或IP，需要创建扩展配置文件ext.cnf：

code复制[req]
req_extensions = v3_req

[v3_req]
subjectAltName = @alt_names

[alt_names]
DNS.1 = example.com
DNS.2 = www.example.com
IP.1 = 192.168.1.100

然后生成时添加-extfile参数：

bash复制openssl x509 -req -days 365 -in mycsr.csr -signkey mykey.key -out mycert.crt -extfile ext.cnf -extensions v3_req

6.3 证书格式转换

不同场景可能需要不同格式：

转换为PEM格式：

bash复制openssl x509 -in mycert.crt -out mycert.pem -outform PEM

转换为DER格式：

bash复制openssl x509 -in mycert.crt -out mycert.der -outform DER

在实际项目中，我发现将这套流程文档化并做成自动化脚本，能极大提高团队效率。特别是在需要频繁重建测试环境的敏捷开发中，这种自签名方案比申请正式证书要灵活得多。