基于OpenSSL的TLS开源项目本地开发免自签证书方案求助

1. 运行时自动生成临时自签名证书 #

这是对开发者最友好的方案，服务端启动时自动生成短期有效的自签名证书，无需手动操作：

• 服务端逻辑：启动前检查证书文件是否存在，不存在则用OpenSSL或cryptography库在内存/临时目录生成证书和私钥
• 客户端逻辑：针对本地调试用的自签名证书，可跳过证书链验证和主机名校验（仅在开发模式下开启）

示例代码（基于pyOpenSSL）：

from OpenSSL import crypto
import tempfile
import os

def generate_temp_cert():
    # 创建RSA密钥对
    key = crypto.PKey()
    key.generate_key(crypto.TYPE_RSA, 2048)
    # 创建证书请求
    req = crypto.X509Req()
    subj = req.get_subject()
    subj.CN = "localhost"
    req.set_pubkey(key)
    req.sign(key, "sha256")
    # 生成自签名证书
    cert = crypto.X509()
    cert.set_serial_number(1000)
    cert.gmtime_adj_notBefore(0)
    cert.gmtime_adj_notAfter(3600)  # 有效期1小时
    cert.set_issuer(req.get_subject())
    cert.set_subject(req.get_subject())
    cert.set_pubkey(req.get_pubkey())
    cert.sign(key, "sha256")
    
    # 写入临时文件
    with tempfile.NamedTemporaryFile(mode='wb', delete=False, suffix='.crt') as f:
        f.write(crypto.dump_certificate(crypto.FILETYPE_PEM, cert))
        cert_path = f.name
    with tempfile.NamedTemporaryFile(mode='wb', delete=False, suffix='.pem') as f:
        f.write(crypto.dump_privatekey(crypto.FILETYPE_PEM, key))
        key_path = f.name
    return cert_path, key_path

# 服务端启动时调用生成证书
cert_path, key_path = generate_temp_cert()
# 后续用这两个路径初始化SSL上下文

客户端跳过验证的代码：

from OpenSSL import SSL

def create_dev_client_context():
    ctx = SSL.Context(SSL.TLS_CLIENT_METHOD)
    # 仅开发模式下禁用证书验证
    ctx.set_verify(SSL.VERIFY_NONE, lambda *args: True)
    return ctx

注意：必须在项目文档中明确说明，跳过验证的逻辑仅用于本地开发调试，生产环境必须启用完整的证书验证。

2. 打包预生成的自签名证书到项目 #

提前生成一对用于本地开发的自签名证书，放到项目的dev-certs目录下随代码分发：

• 生成命令（用OpenSSL工具）：

openssl req -x509 -newkey rsa:2048 -keyout dev-key.pem -out dev-cert.crt -days 365 -nodes -subj "/CN=localhost"

• 在项目配置中默认指向这些预生成的证书，开发者无需额外配置即可启动
• 同样要在文档中强调，这些证书仅用于开发，生产环境必须替换为可信CA签发的证书

3. 使用TLS匿名加密套件（不推荐） #

可以配置TLS使用匿名加密套件（如ADH-AES256-GCM-SHA384），无需证书即可建立加密连接，但这种方式没有身份验证，容易受到中间人攻击，仅适用于对安全性要求极低的本地调试场景：

• 服务端配置上下文时添加匿名套件：

ctx.set_cipher_list("ADH-AES256-GCM-SHA384")

• 客户端同样配置对应的套件，无需加载证书

关于你遇到的错误 #

你看到的OpenSSL.SSL.Error本质是程序找不到指定的.crt和.pem文件导致的IO/BIO层错误，上述方案都能解决这个问题，同时保留TLS加密传输的逻辑。

内容的提问来源于stack exchange，提问作者user18549812