使用OpenSSL生成证书

封面图 • 2025-10-17 • Linux

使用 OpenSSL 生成证书是一个常见的操作，通常用于测试、开发或自签名证书的创建。以下是使用 OpenSSL 生成证书的步骤，包括生成私钥、生成 CSR（证书请求）、以及自签名证书。

---

## ✅ 1. 安装 OpenSSL

如果你还没有安装 OpenSSL，请根据你的操作系统进行安装：

### Linux（Ubuntu/Debian）：
```bash
sudo apt update
sudo apt install openssl
```

### macOS（使用 Homebrew）：
```bash
brew install openssl
```

### Windows：
你可以从 [OpenSSL 官网](https://www.openssl.org/) 下载预编译版本，或者使用 WSL。

---

## ✅ 2. 生成私钥（Private Key）

```bash
openssl genrsa -out private.key 2048
```

- `private.key` 是私钥文件。
- `2048` 表示密钥长度（也可以使用 `4096` 更安全）。

---

## ✅ 3. 生成证书请求（CSR）

```bash
openssl req -new -key private.key -out csr.pem
```

运行后会提示你输入以下信息：

- Country Name (2 letter code)：国家代码（如 CN）
- State or Province Name：省份
- Locality Name：城市
- Organization Name：公司名
- Organizational Unit Name：部门
- Common Name：域名（如 example.com）
- Email Address：邮箱
- Optional: Challenge Password（可选）

> 注意：Common Name 必须和你使用的域名一致。

---

## ✅ 4. 自签名证书（Self-Signed Certificate）

```bash
openssl x509 -req -days 365 -in csr.pem -signkey private.key -out certificate.crt
```

- `-days 365`：证书有效期为 365 天。
- `certificate.crt`：生成的证书文件。

---

## ✅ 5. 查看证书内容（可选）

```bash
openssl x509 -in certificate.crt -text -noout
```

---

## ✅ 6. 将私钥和证书合并为 PFX 文件（可选，用于 Windows 或某些应用）

```bash
openssl pkcs12 -export -out certificate.pfx -inkey private.key -in certificate.crt
```

然后设置一个密码，后续使用时需要输入。

---

## ✅ 示例流程总结

```bash
# 生成私钥
openssl genrsa -out private.key 2048

# 生成 CSR
openssl req -new -key private.key -out csr.pem

# 生成自签名证书
openssl x509 -req -days 365 -in csr.pem -signkey private.key -out certificate.crt
```

---

## 📝 注意事项

- **私钥必须保密**，不要泄露。
- **自签名证书**在浏览器中会显示为不安全，适用于开发环境。
- 如果你需要由 CA 签名的证书（如 Let's Encrypt），可以使用 `openssl req` 生成 CSR 后提交给 CA。

---

如果你有特定需求（比如生成服务器证书、客户端证书、PKCS#12 文件等），欢迎告诉我，我可以提供更详细的步骤！