如何通过应答文件自动填充openssl生成x509证书的交互提示

你可以通过两种方式跳过交互提示，全程自动填充证书信息完成生成，不需要用户手动输入任何内容： #

方法1：使用独立配置文件（推荐，支持所有扩展配置） #

这种方式稳定性最高，支持配置多域名、IP等SAN扩展字段，适合生产环境使用。

1. 首先创建证书请求配置文件，例如命名为cert_req.cnf，核心是必须加prompt = no配置关闭交互提示，所有证书字段直接写在配置中，示例内容如下：

[req]
default_md = sha256
prompt = no
distinguished_name = dn
# 如需配置多域名/IP等SAN扩展，取消下面两行注释
# req_extensions = req_ext

[dn]
# 以下字段对应原交互提示的所有输入项，按需修改值即可
C = CN                  # 两位国家代码，例如中国填CN、美国填US
ST = Beijing            # 省/自治州/直辖市名称
L = Beijing             # 城市名称
O = Example Corp        # 组织/公司名称
OU = Tech Department    # 部门名称
CN = www.example.com    # 证书绑定的主域名
emailAddress = admin@example.com  # 管理员联系邮箱

# 如需配置SAN扩展，取消下面段落注释，按需添加域名/IP
# [req_ext]
# subjectAltName = @alt_list
# [alt_list]
# DNS.1 = example.com
# DNS.2 = www.example.com
# IP.1 = 192.168.1.10

2. 修改原有生成命令，通过-config参数指定上述配置文件即可：

openssl req -new -sha256 -key privkey.key -out cert.csr -config cert_req.cnf

如果不想额外保留独立配置文件，也可以直接在shell脚本中通过临时管道嵌入配置内容，执行完不会残留配置文件：

openssl req -new -sha256 -key privkey.key -out cert.csr -config <(
cat <<-EOF
[req]
default_md = sha256
prompt = no
distinguished_name = dn
[dn]
C = CN
ST = Beijing
L = Beijing
O = Example Corp
OU = Tech
CN = www.example.com
emailAddress = admin@example.com
EOF
)

方法2：命令行直接传参（适合简单场景） #

如果不需要配置SAN等扩展字段，仅需填写基础证书信息，可以直接在命令中加-subj参数一次性传入所有字段值，不需要额外创建配置文件：

openssl req -new -sha256 -key privkey.key -out cert.csr -subj "/C=CN/ST=Beijing/L=Beijing/O=Example Corp/OU=Tech/CN=www.example.com/emailAddress=admin@example.com"

-subj参数格式说明：

• 所有字段以/开头，格式为/字段缩写=字段值，字段顺序不影响生成结果
• 字段缩写和交互提示项一一对应：C对应国家代码、ST对应省/州、L对应城市、O对应组织名称、OU对应部门、CN对应主域名、emailAddress对应联系邮箱
• 不需要的字段直接留空即可，例如不需要填写邮箱就写/emailAddress=

注意事项 #

如果需要生成支持多域名、IP绑定的证书请求，必须使用配置文件方式配置SAN扩展，-subj参数不支持传入扩展字段。

内容的提问来源于stack exchange，提问作者Mary