https雙向認(rèn)證證書生成

前期準(zhǔn)備：
ssl證書生成一般可以通過2種工具：java環(huán)境下的keytool和openssl 但是大部分使用的都是openssl網(wǎng)上的命令文檔也是以openssl居多，下面以openssl舉例;
penSSL 是一個(gè)安全套接字層密碼庫，囊括主要的密碼算法、常用的密鑰和證書封裝管理功能及SSL協(xié)議，并提供豐富的應(yīng)用程序供測試或其它目的使用。
單獨(dú)下載openssl的話需要配置環(huán)境，這點(diǎn)可以自行百度進(jìn)行配置！
我這邊因?yàn)檫€需要配置phpsudy服務(wù)器而phpstudy自帶有openssl工具所以我就沒有去單獨(dú)下載，后面也是以phpstudy自帶的openssl為例說明：
phpstudy本地路勁：

PHPStudy\PHPTutorial\Apache\bin\openssl

比如正常的openssl命令是下面這樣：

openssl genrsa -des3 -out ca.key 2048

使用的時(shí)候則把openssl指向自己本地路勁的位置即可：

F:\PHPStudy\PHPTutorial\Apache\bin\openssl genrsa -des3 -out ca.key 2048

下面則直接使用正常命令，路勁手動(dòng)替換一下即可：
win系統(tǒng)下新建一個(gè)文件夾用系統(tǒng)管理員打開windows.powershell界面：


快速打開windows.powershell

image.png

開始正式生成證書：
1.CA私鑰: ca.key

openssl genrsa -out ca.key 1024
CA私鑰: ca.key

2.創(chuàng)建根證書請求文件ca.csr:

openssl req -new -out ca.csr -key ca.key.key

這里需要填入配置信息：

Country Name (2 letter code) [AU]:cn 國家名(2個(gè)字母的代號)
State or Province Name (full name) [Some-State]:cq 省
Locality Name (eg, city) []:cq 市
Organization Name (eg, company) [Internet Widgits Pty Ltd]:gs 公司名
Organizational Unit Name (eg, section) []:gs  組織或部門名
Common Name (eg, YOUR name) []:test.com  域名（盡量用服務(wù)器域名，不然會引起服務(wù)器警告）
Email Address []:   郵箱地址(不填直接回車)
A challenge password []:123456 密碼
An optional company name []:gs  公司名
ca.csr

3.自簽根證書ca.cer：

openssl x509 -req -in ca.csr -out ca.cer -signkey ca.key -CAcreateserial -days 3650
ca.cer

4.生成p12格式根證書ca.p12(密碼填寫123456,之前ca.csr的密碼,ps:這里輸入的時(shí)候是不可見的輸入完成后回車即可)

openssl pkcs12 -export -clcerts -in ca.cer -inkey ca.key -out ca.p12
ca.p12

5.生成服務(wù)端key server.key:

F:\PHPStudy\PHPTutorial\Apache\bin\openssl genrsa -out server.key 1024
server.key

6.生成服務(wù)端請求文件 server.csr

openssl req -new -out server.csr -key server.key

填入證書配置信息：

Country Name (2 letter code) [AU]:cn 國家名(2個(gè)字母的代號)
State or Province Name (full name) [Some-State]:cq 省
Locality Name (eg, city) []:cq 市
Organization Name (eg, company) [Internet Widgits Pty Ltd]:gs 公司名
Organizational Unit Name (eg, section) []:gs  組織或部門名
Common Name (eg, YOUR name) []:test.com  域名（盡量用服務(wù)器域名，不然會引起服務(wù)器警告）
Email Address []:   郵箱地址
A challenge password []:123456 密碼
An optional company name []:gs  公司名
server.csr

7.生成服務(wù)端證書server.cer（ca.cer，ca.key，servr.key，server.csr這4個(gè)生成服務(wù)端證書）:

openssl x509 -req -in server.csr -out server.cer -signkey server.key -CA ca.cer -CAkey ca.key -CAcreateserial -days 3650
server.cer

8.生成客戶端key client.key:

openssl genrsa -out client.key 1024
image.png

9.生成客戶端請求文件client.csr:

openssl req -new -out client.csr -key client.key

填入證書配置信息:

Country Name (2 letter code) [AU]:cn 國家名(2個(gè)字母的代號)
State or Province Name (full name) [Some-State]:cq 省
Locality Name (eg, city) []:cq 市
Organization Name (eg, company) [Internet Widgits Pty Ltd]:gs 公司名
Organizational Unit Name (eg, section) []:gs  組織或部門名
Common Name (eg, YOUR name) []:tyl  簽發(fā)機(jī)構(gòu)\開發(fā)者人員（這里隨意）
Email Address []:   郵箱地址
A challenge password []:123456 密碼
An optional company name []:gs  公司名
client.csr

10.生成客戶端證書 client.cer:

openssl x509 -req -in client.csr -out client.cer -signkey client.key -CA ca.cer -CAkey ca.key -CAcreateserial -days 3650
client.cer

11.生成客戶端p12格式根證書client.p12(密碼設(shè)置123456)：

openssl pkcs12 -export -clcerts -in client.cer -inkey client.key -out client.p12

client.p12

至此，證書就制作完畢了：
image.png

服務(wù)器端配置(詳細(xì)配置過程可見：http://www.itdecent.cn/p/bbf853fc28f3)：

server {
        listen      443 ssl;      #http的端口號是80，https的端口為443
        server_name  www.test.com #服務(wù)器域名 配置多個(gè)時(shí)不要添加;號即可
    ServerName 127.0.0.1
    ServerName 192.168.0.111;
    ssl on;   #開啟ssl


    ssl_certificate C:\Users\Administrator\Desktop\ssl4\server.cer;     #服務(wù)器證書文件
    ssl_certificate_key C:\Users\Administrator\Desktop\ssl4\server.key; #服務(wù)器證書密匙
    ssl_client_certificate C:\Users\Administrator\Desktop\ssl4\ca.cer;  #根證書
    ssl_verify_depth 1;
    ssl_verify_client on; #開啟客戶端驗(yàn)證

  location / {
            root   F:\PHPStudy\PHPTutorial\WWW;   #本地網(wǎng)站文件目錄
            index  index.HTML index.html index.htm ;
        }       
        }

小建議：
制作的時(shí)候有的命令可以自行修改的，如證書名稱等。
可自建一個(gè)txt文本，把openssl命令復(fù)制進(jìn)去后再進(jìn)行修改好后，才復(fù)制到windows powershell界面中執(zhí)行
注意：
windows powershell執(zhí)行openssl命令不能有錯(cuò)誤提示，認(rèn)真比對一下證書生成過后的提示，哪怕是警告也可能造成證書是失效的！我就踩過不少的坑，有的錯(cuò)誤可以自行百度錯(cuò)誤提示解決！

各類知識點(diǎn)整理：

工具類：

源碼：

最后編輯于 ：
?著作權(quán)歸作者所有,轉(zhuǎn)載或內(nèi)容合作請聯(lián)系作者
【社區(qū)內(nèi)容提示】社區(qū)部分內(nèi)容疑似由AI輔助生成，瀏覽時(shí)請結(jié)合常識與多方信息審慎甄別。
平臺聲明：文章內(nèi)容（如有圖片或視頻亦包括在內(nèi)）由作者上傳并發(fā)布，文章內(nèi)容僅代表作者本人觀點(diǎn)，簡書系信息發(fā)布平臺，僅提供信息存儲服務(wù)。

相關(guān)閱讀更多精彩內(nèi)容

  • 生活本是一種美好的情趣，但很多人把它過得很累，之所以累或許是物欲太重執(zhí)著太深吧！ 世人笑我太瘋癲，我笑世人看不穿。...
    地中海的傳說閱讀 381評論 0贊 0
  • 曾幾何時(shí) 我們歡聚在藍(lán)天白云下 如今卻要 一個(gè)人走在這長長的街 呼吸著這空城的冷氣 曾幾何時(shí) 我們舉杯在高樓夜空中...
    一只有野心的狐貍閱讀 217評論 0贊 0
  • 有些事，只能一個(gè)人做；有些關(guān)，只能一個(gè)人過；有些路，只能一個(gè)人走。人生其實(shí)就像一條從寬闊的平原通往森林的路...
    藝匠心閱讀 502評論 0贊 0

友情鏈接更多精彩內(nèi)容