| 生成 | openssl req -x509 -newkey rsa:2048 -nodes -days 365 |
|---|---|
| 信任方式 | 把自签证书导入客户端信任库，或按系统策略放行 |
| 适用 | 内网系统、IoT 设备、开发测试、私有 CA 的 mTLS 场景 |
| 不适用 | 面向公众的站点与开放 API（终端用户会看到警告） |
生成自签证书（含 SAN）
生成自签证书（含 SAN）
openssl req -x509 -newkey rsa:2048 -nodes -days 365 -keyout tls.key -out tls.crt -subj "/CN=internal.example.com" -addext "subjectAltName=DNS:internal.example.com,IP:10.0.0.10"自签证书的轮换与指纹分发要纳入管理；大量设备各自信任不同自签证书会让运维复杂度快速上升。