如何解决树莓派局域网托管站点的自签名SSL证书浏览器警告问题

方案1：公共泛域名证书 + IP映射域名 #

• 自行注册公共域名，向公共CA申请该域名的泛域名SSL证书（通过DNS验证方式申请，不需要绑定固定公网IP）
• 软件首次启动时，获取树莓派当前的局域网IP，将IP地址拼接为合法子域名，比如你的域名是example.com，树莓派IP是192.168.3.14，对应访问域名就是192-168-3-14.example.com
• 在公共DNS上配置*.example.com的泛解析规则，将任意xxx.example.com的解析地址指向xxx字段中用分隔符替换后的IP地址即可，用户访问对应域名时会自动解析到他的树莓派局域网IP，浏览器识别到证书是公共CA签发，不会弹出安全警告
• 软件内置证书自动更新逻辑，在证书过期前自动向CA申请新的泛域名证书，无需用户手动操作

方案2：自动生成自签名根证书 + 引导安装 #

• 软件首次启动时，自动生成唯一的自签名根CA证书，以及匹配树莓派当前局域网IP、mDNS域名（比如raspberrypi.local）的终端SSL证书
• 同时开放80端口的HTTP引导页：用户第一次访问树莓派IP的HTTP服务时，页面直接展示根证书下载安装教程，引导用户将根证书安装到设备的受信任根证书存储区
• 根证书安装完成后，后续所有访问HTTPS站点的请求都会被系统信任，不会弹出安全警告，该方案完全离线可用，不依赖公共网络

方案3：HTTP协议适配Cookie策略规避登录失效 #

如果对传输安全性要求不高，可以继续使用HTTP协议，通过调整配置解决Chrome下Cookie丢失的问题：

• 设置Cookie时关闭Secure属性，同时配置SameSite=Strict或者SameSite=Lax属性，适配Chrome针对非HTTPS站点的Cookie安全策略
• 额外将登录凭证存储在浏览器localStorage中，页面刷新时优先读取localStorage中的凭证做身份校验，避免Cookie被清理导致登录状态丢失
• 该方案改造成本最低，不需要处理证书相关逻辑

内容的提问来源于stack exchange，提问作者F Chopin