如何使用pyOpenSSL生成含多个OU字段的证书？

你之前用cert.get_subject().OU = xxx的方式设置主题字段，确实会覆盖已有值——因为pyOpenSSL的高层API没提供添加重复字段的方法。要实现多个独立OU的需求，确实需要调用OpenSSL的底层API，但可以封装成简洁的函数，不用直接写繁琐的底层代码。

实现代码 #

首先导入必要的模块：

from OpenSSL import crypto
from OpenSSL._util import lib, exception_from_error_queue

封装一个通用的字段添加函数，处理编码和错误：

def add_x509_name_entry(x509_name, field_name, value):
    # 将字段名转换为OpenSSL的NID标识
    nid = lib.OBJ_txt2nid(field_name.encode('utf-8'))
    if nid == 0:
        raise ValueError(f"无效的字段名: {field_name}")
    
    # 调用底层API添加字段，-1表示追加到主题末尾
    result = lib.X509_NAME_add_entry_by_NID(
        x509_name._name,
        nid,
        crypto.X509Name._ENC_UTF8,
        value.encode('utf-8'),
        -1,
        -1,
        0
    )
    if result != 1:
        raise exception_from_error_queue()

然后用这个函数生成带多个OU的证书主题：

cert = crypto.X509()
subject = cert.get_subject()

# 设置普通单值字段
add_x509_name_entry(subject, "C", certificate_params.country)
add_x509_name_entry(subject, "ST", certificate_params.state)
add_x509_name_entry(subject, "L", certificate_params.locality)
add_x509_name_entry(subject, "O", certificate_params.organization)
add_x509_name_entry(subject, "CN", certificate_params.common_name)

# 添加多个OU字段，每调用一次就新增一个
add_x509_name_entry(subject, "OU", "技术部")
add_x509_name_entry(subject, "OU", "安全组")
add_x509_name_entry(subject, "OU", "研发团队")

说明 #

这个封装后的函数既利用了底层API的能力，又保持了代码的可读性和易用性，不需要切换到OpenSSL CLI。pyOpenSSL的高层API确实没提供重复字段的添加接口，所以这种方式是目前最优雅的实现方案。

内容的提问来源于stack exchange，提问作者GabeL