使用 OpenSSL 创建自签名证书
生成您自己的 CA，签发证书，并使用 OpenSSL 检查证书
使用 OpenSSL 创建自签名证书 是 CoddyKit 上的免费 Cryptology Academy 课时。 这是第 4 节课，共 4 节。 你可以在下方免费阅读本课时的完整内容 — 然后在浏览器中使用内置代码编辑器和全天候 AI 导师进行实践。 这是 Cryptology Academy 学习路径的一部分，你的进度在网页和 CoddyKit 应用中同步。 Cryptology Academy 课程共包含 4 节课。
欢迎
在本实践课程中，我们将使用 OpenSSL 创建自己的迷你 CA，为服务器证书签名，并检查每个字段，从内部全面了解 PKI。
生成根 CA 密钥
# 生成 4096 位 RSA CA 私钥
openssl genrsa -aes256 -out ca.key 4096
-aes256 标志会使用口令加密私钥。请始终保护好 CA 密钥。
创建根 CA 证书
openssl req -x509 -new -nodes -key ca.key \
-sha256 -days 3650 \
-out ca.crt \
-subj '/C=US/O=My CA/CN=My Root CA'
-x509 会使证书成为自签名证书。-days 3650 = 10 年。
生成服务器密钥
# 生成 2048 位 RSA 服务器密钥（Web 服务器不使用口令）
openssl genrsa -out server.key 2048
服务器密钥不应设置口令（Web 服务器启动时无法提示输入口令）。
创建证书签名请求（CSR）
openssl req -new -key server.key \
-out server.csr \
-subj '/C=US/O=My App/CN=localhost'
CSR 包含公钥和请求的主体信息。它由申请者的私钥签名。
创建 SAN 扩展文件
cat > server.ext <
为服务器证书签名
openssl x509 -req \
-in server.csr \
-CA ca.crt -CAkey ca.key \
-CAcreateserial \
-out server.crt \
-days 365 -sha256 \
-extfile server.ext
检查证书
openssl x509 -in server.crt -text -noout
请查找：Issuer、Subject、Not Before/After、Subject Alternative Name、Key Usage，以及底部的 Signature Algorithm。
验证证书链
openssl verify -CAfile ca.crt server.crt
# server.crt: OK
这确认服务器证书已由我们的 CA 正确签名。对证书进行任何修改都会导致验证失败。
使用 curl 测试
# 使用证书启动 Python 服务器：
# python3 -m http.server --bind 127.0.0.1 8443 #（简化示例）
# 使用我们的 CA 证书进行测试：
curl --cacert ca.crt https://localhost:8443
# 如果不使用 --cacert，curl 会拒绝这个自签名 CA
导出为 PKCS12
PKCS12 会将证书、私钥和 CA 链打包到一个文件中：
openssl pkcs12 -export \
-in server.crt -inkey server.key \
-certfile ca.crt \
-out server.p12
Java 密钥库和 Windows 证书存储会使用这种格式。
快速检查
哪个 OpenSSL 命令可以使用私钥创建自签名根 CA 证书？
回顾
太棒了！您已经从零开始构建了一个完整的 PKI。接下来我们将学习密码哈希——为什么 SHA-256 不适合密码，以及 bcrypt/Argon2 有何不同。
常见问题解答
「使用 OpenSSL 创建自签名证书」课时是免费的吗？
是的 — 「使用 OpenSSL 创建自签名证书」的完整文本可在网页上免费阅读。要进行交互式练习（内置代码编辑器和全天候 AI 导师）并解锁 Cryptology Academy 课程的其余内容，请升级到 CoddyKit PRO。 Cryptology Academy 课程共包含 4 节课。
「使用 OpenSSL 创建自签名证书」这节课中我会学到什么？
生成您自己的 CA，签发证书，并使用 OpenSSL 检查证书 你通过在浏览器中直接运行的动手代码来练习 Cryptology Academy，全天候 AI 导师会在你学习这节课的过程中回答你的问题。
学习 Cryptology Academy 需要有经验吗？
无需任何先前经验。CoddyKit 上的 Cryptology Academy 课程适合初学者到高级学习者，你可以从这里开始或从头开始，按照自己的节奏学习。 这是第 4 节课，共 4 节。
「使用 OpenSSL 创建自签名证书」课时需要多长时间？
大多数 CoddyKit 课程大约需要 5–10 分钟。每节课都很精短且互动，所以你能稳步进步，并在网页和应用中从离开的地方继续。
我能在这节 Cryptology Academy 课中编写并运行代码吗？
能。每节 Cryptology Academy 课都包含内置代码编辑器，你可以在浏览器中直接编写并运行真实代码，并获得即时 AI 反馈 — 无需本地设置。
此课程中的所有课时
- 什么是证书？X.509 结构
- 证书颁发机构与信任链
- 证书撤销：CRL 与 OCSP
- 使用 OpenSSL 创建自签名证书