自签证书在生产环境的处理

生产环境直接使用自签名证书会触发浏览器信任警告，应用端常见 self-signed certificate in certificate chain（错误码 19）。可行路径是自建私有 CA 签发并统一分发根证书，测试环境也建议走同一套信任体系。

错误码 18	depth-0 自签名证书
错误码 19	证书链中含自签证书
合规做法	私有 CA + 受控分发根证书，或使用公信 CA 的 ACME 证书

验证私有 CA 签发链

openssl verify -CAfile ca.pem leaf.pem
# 期望输出 leaf.pem: OK
# 去掉 -CAfile 会得到 unable to get local issuer certificate

自签证书的问题在信任分发而非算法强度：客户端必须预先信任对应根证书，规模稍大时应改为私有 CA 体系。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌