node.js 启动 https 服务报 enoent 是因路径错误或权限问题，需用绝对路径或正确相对路径；证书无效显示 net::err_cert_authority_invalid 属自签名正常现象，应导入根证书而非禁用校验；客户端请求失败需局部关闭校验；代理到 https 后端须设 secure: false；证书链不完整时应分两步生成 ca 和域名证书。
Node.js 启动 HTTPS 服务时报 ENOENT 找不到证书文件
根本不是 VSCode 的问题，而是 Node.js 进程读取路径失败。常见于相对路径写错、工作目录不一致、或证书文件权限不足。
-
https.createServer()中传入的key和cert路径必须是绝对路径，或相对于当前工作目录（即你运行node app.js时所在的目录），不是相对于app.js文件所在目录 - 验证路径是否有效：在代码开头加
console.log(require('fs').existsSync('/path/to/cert.pem'))，输出false就说明路径错了 - Mac/Linux 下注意权限：如果证书放在
~/Downloads/，Node.js 可能因波浪线未展开而找不到——改用require('os').homedir()拼接，或直接用绝对路径如/Users/xxx/ssl/cert.pem - Windows 路径分隔符别混用：
C:sslcert.pem在字符串里要写成C:\ssl\cert.pem或使用正斜杠C:/ssl/cert.pem
浏览器访问 https://localhost:3000 显示 NET::ERR_CERT_AUTHORITY_INVALID
这是自签名证书的必然行为，不是配置失败，但绕过方式有明确优先级和风险差异。
- 最安全做法：把根证书（
rootCA.pem）导入系统钥匙串（macOS）或受信任的根证书颁发机构（Windows），再重启浏览器——这样所有子域名证书都自动信任 - 临时调试可手动点击「高级 → 继续前往 localhost（不安全）」，但每次重启服务或清缓存后需重点，且 Chrome 120+ 已限制该入口频次
- 别信「在 VSCode 设置里关掉
http.proxyStrictSSL」——这仅影响 VSCode 自身 HTTP 客户端（如扩展市场），不影响你跑的 Node.js 服务被浏览器访问
Node.js 脚本调用 HTTPS 接口报 SELF_SIGNED_CERT_IN_CHAIN
错误来自你代码里发起请求的模块（https.request、axios、fetch），不是服务器端证书问题，而是客户端校验失败。
- 开发阶段最快验证：在脚本最顶部加
process.env.NODE_TLS_REJECT_UNAUTHORIZED = '0';（必须在require('https')之前） - 局部控制更稳妥：用
axios时传httpsAgent: new https.Agent({ rejectUnauthorized: false })；用node-fetch@3+时传{ dispatcher: new Agent({ rejectUnauthorized: false }) } - 生产环境禁用此选项——它跳过证书链验证，但 TLS 加密仍生效，仅失去身份认证能力，敏感数据场景下等同裸奔
- 企业内网推荐方案：设环境变量
NODE_EXTRA_CA_CERTS=/path/to/internal-ca.pem，让 Node.js 主动加载私有 CA，比全局关校验更可控
Vite/webpack dev server 代理到本地 HTTPS 后端失败
代理本身默认启用证书校验，遇到自签名后端会直接中断连接，错误常表现为 504 Gateway Timeout 或空响应。
- Vite 中配置
server.proxy['/api']时，必须显式加secure: false，否则代理层拒绝转发 - Webpack Dev Server 同理，在
devServer.proxy对象里加secure: false，否则底层http-proxy-middleware默认校验目标证书 - 注意：这个
secure: false是代理客户端的行为，和你的前端页面是否走 HTTPS 无关，也不影响浏览器对前端自身的证书校验 - 若代理目标是
https://dev.example.com:8080，确保 hosts 文件已映射该域名到127.0.0.1，否则 DNS 解析失败会掩盖真实证书问题
openssl req -x509 一步生成，它本质是自签的「终端实体证书」，没有中间 CA 层；但某些工具（如 Chrome 110+）对单级自签名证书的信任提示更隐蔽，甚至不显示「添加为信任」入口——此时必须用两步法：先建 rootCA.pem，再用它签发域名证书，才能稳定触发系统级信任导入流程。
