技术咨询：‘self signed certificate’的具体含义是什么？

嘿，咱们来好好唠唠自签名证书到底是什么——其实它就是由证书持有者自己签发的SSL/TLS证书，完全跳过了第三方权威证书颁发机构（CA，Certificate Authority）的背书流程。

和CA签发证书的核心区别 #

正常来说，公网上的HTTPS网站用的都是CA签发的证书：浏览器和操作系统会预装一批权威CA的根证书，当你访问这类网站时，系统会自动验证证书的合法性，不会弹出安全警告。但自签名证书相当于你自己给自己发了一张“身份名片”，没有第三方权威机构担保你是谁，所以第一次访问使用这类证书的服务时，浏览器、客户端大概率会弹出醒目的红色警告，提示你“该证书不可信”。

自签名证书的常见使用场景 #

• 开发/测试环境：本地调试HTTPS接口、搭建测试网站时，不想花钱买CA证书，又要模拟真实的加密通信场景，自签名证书简直是刚需
• 内部网络服务：公司局域网里的内部工具、私有服务器，不需要对外暴露，用自签名证书加密内部通信足够安全，还能省掉CA的申请流程和费用
• 个人私有服务：比如自己搭的家庭NAS、私有云盘，只有自己或少数熟人使用，完全没必要花成本去申请CA证书

优缺点一览 #

优点

• 零成本：完全免费，不需要向任何CA机构付费
• 生成便捷：用OpenSSL这类工具几分钟就能生成，证书的有效期、加密算法、字段都能自己说了算
• 完全可控：不需要依赖第三方机构，证书的生命周期全由自己管理

缺点

• 公网信任问题：公网用户访问时会触发安全警告，普通用户大概率会直接关闭页面，没法用于面向公众的服务
• 无吊销机制：如果证书的私钥泄露了，没办法像CA证书那样通过吊销列表作废，只能重新生成并替换所有使用该证书的服务
• 手动信任繁琐：如果想让客户端不弹警告，得手动把证书导入到浏览器、操作系统的信任列表里，对非技术用户不太友好

快速生成自签名证书的示例命令 #

用OpenSSL工具可以快速生成一个自签名证书，比如这条命令会生成有效期365天、RSA 4096位加密的证书和对应的私钥：

openssl req -x509 -newkey rsa:4096 -keyout key.pem -out cert.pem -sha256 -days 365

执行后会提示你填写一些证书信息（比如国家、组织名称等），也可以加-nodes参数跳过私钥加密，方便测试使用。

内容的提问来源于stack exchange，提问作者majdi_ach