OpenSSL C API是否支持直接通过完整CSR签名生成证书？

使用OpenSSL命令行工具创建有效证书的标准流程是：通过openssl req生成证书签名请求（CSR），再通过openssl x509由签发者签名生成证书，示例命令如下：

openssl req -new -key privatekey.pem -subj '/CN=examplehost.exampledomain.com' -out examplehost.csr
openssl x509 -req -in examplehost.csr -days 365 -sha256 -CA issuer.pem -CAkey issuer_priv.key -CAserial serial.file -out examplehost.pem

目前找到的OpenSSL C API示例均为：通过X509_new()实例化空白X509对象，手动填充元数据和密钥后，使用X509_sign()通过签发者私钥签名。未找到使用X509_REQ作为输入生成证书的C API示例，请问此理解是否正确？该API是否存在除手动复制字段外的关联调用？

你的理解不准确，OpenSSL提供了直接基于X509_REQ生成证书的C API，无需手动复制所有字段，核心函数是X509_create_by_req()（OpenSSL 1.1.0及以上版本可用）。

• 核心API说明：X509_create_by_req()可以直接从CSR（X509_REQ对象）生成待签名的证书框架，自动复制CSR中的主体信息、公钥等字段，你只需要补充设置有效期、序列号、签发者信息等必要参数即可。
• 示例代码片段：

#include <openssl/x509.h>
#include <openssl/x509v3.h>

// 假设已提前获取以下对象：
// X509_REQ *req; // 加载完成的CSR对象
// X509 *issuer_cert; // 签发者证书
// EVP_PKEY *issuer_key; // 签发者私钥
// ASN1_INTEGER *serial; // 证书序列号
// long days_valid; // 证书有效期天数（按天计算）

X509 *cert = X509_create_by_req(NULL, req, issuer_cert, issuer_key);
if (!cert) {
    // 错误处理逻辑
}

// 设置证书生效与过期时间
X509_gmtime_adj(X509_get_notBefore(cert), 0); // 立即生效
X509_gmtime_adj(X509_get_notAfter(cert), days_valid * 86400L); // 按天数设置过期时间

// 设置证书序列号
if (!X509_set_serialNumber(cert, serial)) {
    // 错误处理逻辑
}

// 用签发者私钥完成证书签名
if (!X509_sign(cert, issuer_key, EVP_sha256())) {
    // 错误处理逻辑
}

// 后续可执行证书写入文件等操作

• 补充说明：
  • 旧版本OpenSSL（1.0.2及以下）没有X509_create_by_req()，需使用X509_REQ_to_X509()函数，但该函数功能有限，仍需较多手动配置；
  • 使用前建议先通过X509_REQ_verify()验证CSR的签名有效性，避免生成无效证书。

内容的提问来源于stack exchange，提问作者davolfman