如何在Rust中为QUIC服务器正确生成自签名证书？

以下是针对你遇到的Firefox提示rx_record_too_long、其他浏览器显示invalid ssl certificate问题的排查和解决步骤：

• 检查证书密钥算法与长度
  QUIC/HTTP3对SSL证书的算法有明确要求，rcgen默认配置可能不匹配。优先使用ECDSA密钥（P-256或P-384曲线），避免使用RSA密钥（尤其是短密钥）。生成时指定算法：

  let mut params = CertificateParams::default();
  params.key_pair = Some(KeyPair::generate(&SignatureAlgorithm::ECDSA_P256_SHA256)?);
  

• 必须添加正确的SAN字段
  现代浏览器依赖SAN（Subject Alternative Name）验证域名，仅设置CN（Common Name）已不再被信任。确保证书包含你访问的域名：

  params.subject_alt_names = vec![
    SanType::DnsName("your-domain.com".to_string()),
    SanType::DnsName("localhost".to_string()), // 本地测试场景添加
  ];
  

• 配置正确的证书用途与有效期
  证书必须包含TLS服务器认证的扩展，且有效期不宜过长（建议90天内）。在rcgen中显式配置：

  params.key_usages = vec![
    KeyUsagePurpose::DigitalSignature,
    KeyUsagePurpose::KeyEncipherment,
  ];
  params.extended_key_usages = vec![ExtendedKeyUsagePurpose::ServerAuth];
  params.not_before = Utc::now();
  params.not_after = Utc::now() + Duration::days(90);
  

• 确保服务器加载完整证书链
  如果是自签名证书，需要将生成的根证书也提供给QUIC服务器，或者手动让浏览器信任该根证书（本地测试时）。仅提供叶子证书会导致浏览器无法完成验证流程。

• Firefox rx_record_too_long 额外排查
  这个错误虽然和QUIC数据包大小相关，但也可能是证书不符合规范导致握手阶段数据包异常。先按上述步骤重新生成证书，若问题仍存在，尝试调整QUIC服务器的最大数据包大小参数。

内容的提问来源于stack exchange，提问作者Liran