OpenSSL自签名证书导入CA后遇MOZILLA_PKIX错误如何解决？

这个错误的核心原因很明确：你用默认命令生成的自签名证书自带basicConstraints=CA:TRUE扩展，被标记成了CA证书，但你却直接把它用作HTTPS服务器的终端实体证书。Firefox严格遵循规范，不允许CA证书直接充当终端实体证书，因此抛出了这个错误。

下面给你两种可行的解决办法：

方法一：重新生成仅作为终端实体的自签名证书 #

直接生成符合服务器证书规范的自签名证书，明确禁用CA约束，同时指定正确的证书用途。执行以下命令即可：

openssl req -new -newkey rsa:4096 -x509 -sha256 -days 365 -nodes \
  -out cert.pem -keyout private.pem \
  -subj "/CN=localhost" \
  -addext "basicConstraints=CA:FALSE" \
  -addext "keyUsage=digitalSignature,keyEncipherment" \
  -addext "extendedKeyUsage=serverAuth"

• -subj "/CN=localhost"：直接设置证书的CN为localhost，跳过交互步骤
• -addext "basicConstraints=CA:FALSE"：明确标记这不是CA证书
• 后两个-addext：指定证书用途为服务器认证，完全符合HTTPS服务器的规范

生成完成后，把新的cert.pem导入Firefox作为受信任的证书（不是CA证书），部署到服务器后访问localhost就不会再报错了。

方法二：用现有CA证书签发单独的服务器证书 #

如果你需要模拟CA签发证书的场景，可以保留原来的CA证书，用它签发一个专门的服务器证书：

1. 生成服务器证书的私钥和CSR（证书签名请求）：

openssl genrsa -out server.key 4096
openssl req -new -key server.key -out server.csr -subj "/CN=localhost"

2. 用你的CA证书（cert.pem）和私钥（private.pem）签发服务器证书：

openssl x509 -req -in server.csr -CA cert.pem -CAkey private.pem -CAcreateserial \
  -out server.crt -days 365 -sha256 \
  -addext "basicConstraints=CA:FALSE" \
  -addext "keyUsage=digitalSignature,keyEncipherment" \
  -addext "extendedKeyUsage=serverAuth"

3. 服务器部署server.crt和server.key，同时把原来的cert.pem导入Firefox作为受信任的CA证书，Firefox会信任CA签发的服务器证书，问题即可解决。

两种方法里，方法一更适合本地开发的简单场景，步骤更少；方法二更贴近真实的证书签发流程，适合需要测试CA体系的场景。

内容的提问来源于stack exchange，提问作者Steven Mechanicalbyte