Self signed certificate（自签名证书）端到端签发全流程工作原理咨询

1. 前置说明 #

自签名证书和权威CA签发证书的核心差异是：自签名证书的签发方就是证书的持有者本身，全程不存在第三方权威CA机构参与流程，不要和需要提交材料到CA的商业证书申请流程混淆。

2. 完整端到端处理逻辑 #

• 步骤1：生成非对称密钥对
  证书申请者首先在本地通过加密工具（比如openssl）生成非对称加密的密钥对，包含公钥和私钥两部分，私钥由申请者本地加密留存，全程不会对外暴露。
• 步骤2：生成证书签名请求（CSR）
  申请者基于生成的公钥，补充证书所需的身份信息（比如关联域名、组织名称、所在地、联系邮箱、证书有效期等），生成标准格式的CSR文件。注意：和CA证书申请不同，自签名证书的CSR不需要提交给任何外部机构，所有操作都在申请者本地环境完成。
• 步骤3：执行签名操作
  签名操作完全由申请者本人完成，用本地留存的、和证书公钥配对的私钥对CSR里的所有信息做数字签名：本质是先对证书核心内容做哈希计算，再用私钥对哈希值加密生成签名段，最终把公钥、身份信息、签名段整合后直接生成最终的自签名证书文件（通用格式为.crt或.pem），没有外部审批、流转环节。
• 步骤4：部署与使用
  申请者把生成的自签名证书部署到对应服务端（比如Web服务器、内网接口网关、私有服务等）。当客户端访问该服务时，会拿到服务端返回的自签名证书：

  系统、浏览器默认的根证书信任库中不会收录自签名证书，首次访问会弹出不安全提示，需要用户手动将该证书加入本地信任列表后，才能正常完成TLS握手建立加密连接。

3. 核心问题澄清 #

• 自签名证书申请需要提交到哪一方？
  不需要提交给任何外部机构，全流程所有操作都可以在申请者本地完成，没有外部流转要求。
• 最终由谁执行签名操作？
  由证书申请者本人，使用自己生成的、和证书公钥配对的私钥完成签名，不存在第三方参与签名环节。

内容的提问来源于stack exchange，提问作者Roro