IIS 6.1使用IP/localhost访问时证书地址不匹配问题咨询

这个问题我之前帮团队里的小伙伴处理过，核心原因很简单：你的自签名证书没有把IP、localhost、127.0.0.1这些访问标识包含进去。IE浏览器会严格校验证书里的主机名（包括SAN主题备用名称和CN通用名称）和你实际访问的地址是否一致，不匹配就会弹出那个恼人的错误提示。下面给你两种实用的解决方法：

方法一：重新生成包含所有访问标识的自签名证书（推荐） #

这是最规范的解决方案，直接从证书层面解决匹配问题：

1. 以管理员身份打开PowerShell，运行以下命令（记得把占位符替换成你的实际信息）：

New-SelfSignedCertificate -DnsName "你的服务器名", "localhost" -CertStoreLocation "Cert:\LocalMachine\My" -Subject "CN=你的服务器名" -KeyAlgorithm RSA -KeyLength 2048 -HashAlgorithm SHA256 -KeyExportPolicy Exportable -NotAfter (Get-Date).AddYears(5) -TextExtension @("2.5.29.17={text}DNS:你的服务器名,DNS:localhost,IPAddress:127.0.0.1,IPAddress:你的服务器IP")

这条命令会生成一个有效期5年的证书，同时把服务器名、localhost、127.0.0.1、服务器IP都加入到证书的**主题备用名称（SAN）**里，覆盖所有你需要的访问场景。
2. 打开IIS管理器，找到你的站点→右键→编辑绑定→选择HTTPS绑定→点击“编辑”→在证书下拉框里选择刚生成的新证书，保存设置。
3. 把新证书导入到本地的「受信任的根证书颁发机构」：打开「证书管理器」（可以通过运行certlm.msc打开），找到「个人」→「证书」里的新证书，右键→所有任务→导出，然后导入到「受信任的根证书颁发机构」→「证书」目录下。这一步是让IE信任这个自签名证书，避免弹出“证书不受信任”的额外提示。

方法二：临时修改IE安全设置（仅用于测试，不推荐生产环境） #

如果只是临时测试不想重新生成证书，可以通过降低IE的安全校验来绕开警告：

• 打开IE，点击右上角的齿轮图标→「Internet选项」→「安全」选项卡→选中「受信任的站点」→点击「站点」，把你访问的IP、localhost地址添加进去（注意取消勾选“对该区域中的所有站点要求服务器验证(https:)”）。
• 回到「安全」选项卡，点击「自定义级别」→找到「证书」相关设置，把「对证书地址不匹配发出警告」设为「禁用」，确定保存。

不过要注意，这种方法只是隐藏了警告，并没有真正解决证书不匹配的问题，生产环境强烈建议用方法一。

另外补充一句：你用服务器名访问没问题，是因为原来的自签名证书的CN（通用名称）设成了服务器名，浏览器校验时匹配上了，但IP和localhost不在证书的合法标识列表里，所以才会报错~

内容的提问来源于stack exchange，提问作者Harriett Xing