快捷導(dǎo)航

如何通過(guò)OpenSSL生成自簽名證書(shū)

更新時(shí)間：2026年01月26日 09:19:10 作者：ICT董老師

文章介紹了如何使用OpenSSL生成一對(duì)密鑰和證書(shū),包括生成私鑰、證書(shū)簽名請(qǐng)求（CSR）和自簽名證書(shū)的過(guò)程,還提供了分步生成證書(shū)的方法,并說(shuō)明了配置文件的創(chuàng)建和使用,文章還強(qiáng)調(diào)了私鑰的安全性,并建議在生產(chǎn)環(huán)境中使用CA頒發(fā)的證書(shū)

方法一：生成自簽名證書(shū)（一步完成）

# 生成私鑰和自簽名證書(shū)（有效期365天）
openssl req -x509 -newkey rsa:2048 -keyout server.key -out server.crt -days 365 -nodes

# 交互式輸入信息，或使用以下命令自動(dòng)填寫(xiě)：
openssl req -x509 -newkey rsa:2048 -keyout server.key -out server.crt -days 365 -nodes \
  -subj "/C=CN/ST=Beijing/L=Beijing/O=YourOrg/OU=YourDept/CN=yourdomain.com"

方法二：分步生成（更靈活）

# 1. 生成私鑰
openssl genrsa -out server.key 2048

# 2. 生成證書(shū)簽名請(qǐng)求（CSR）
openssl req -new -key server.key -out server.csr \
  -subj "/C=CN/ST=Beijing/L=Beijing/O=YourOrg/OU=YourDept/CN=yourdomain.com"

# 3. 生成自簽名證書(shū)
openssl x509 -req -days 365 -in server.csr -signkey server.key -out server.crt

方法三：使用配置文件生成

創(chuàng)建配置文件 cert.conf：

[req]
default_bits = 2048
prompt = no
default_md = sha256
distinguished_name = dn
x509_extensions = v3_req

[dn]
C = CN
ST = Beijing
L = Beijing
O = YourOrg
OU = YourDept
CN = yourdomain.com

[v3_req]
keyUsage = keyEncipherment, dataEncipherment
extendedKeyUsage = serverAuth
subjectAltName = @alt_names

[alt_names]
DNS.1 = yourdomain.com
DNS.2 = *.yourdomain.com
IP.1 = 192.168.1.100

執(zhí)行生成命令：

openssl req -new -x509 -days 365 -nodes \
  -config cert.conf \
  -newkey rsa:2048 \
  -keyout server.key \
  -out server.crt

常用參數(shù)說(shuō)明

-newkey rsa:2048：生成 2048 位 RSA 密鑰
-keyout：指定私鑰輸出文件
-out：指定證書(shū)輸出文件
-days：證書(shū)有效期（天）
-nodes：不加密私鑰（無(wú)密碼）
-subj：自動(dòng)填寫(xiě)證書(shū)信息
-x509：生成自簽名證書(shū)

驗(yàn)證生成的證書(shū)

# 查看證書(shū)信息
openssl x509 -in server.crt -text -noout

# 查看私鑰信息
openssl rsa -in server.key -check -noout

# 驗(yàn)證密鑰和證書(shū)是否匹配
openssl x509 -noout -modulus -in server.crt | openssl md5
openssl rsa -noout -modulus -in server.key | openssl md5
# 兩個(gè)MD5值應(yīng)該相同

安全提示

保護(hù)私鑰：私鑰文件 (.key) 應(yīng)嚴(yán)格保密
密碼保護(hù)（可選）：移除 -nodes 參數(shù)可設(shè)置私鑰密碼
生產(chǎn)環(huán)境：自簽名證書(shū)僅用于測(cè)試，生產(chǎn)環(huán)境應(yīng)使用 CA 頒發(fā)的證書(shū)
密鑰長(zhǎng)度：推薦使用 2048 位或以上