Nginx HTTPS配置怎么使用OpenSSL生成自签名SSL证书用于测试-Nginx-PHP中文网

直接用 openssl 一步生成含 san 的自签名证书并配置 nginx 即可快速启用 https；需使用 -addext 指定 dns 和 ip（如 dns:localhost,ip:127.0.0.1,ip:192.168.1.100），nginx 配置中指定 ssl_certificate 与 ssl_certificate_key 路径，并启用 tlsv1.2+。

nginx https配置怎么使用openssl生成自签名ssl证书用于测试

直接用 OpenSSL 一步生成自签名证书，再配进 Nginx 的 server 块，就能在测试环境快速启用 HTTPS。浏览器会提示“不安全”，但不影响功能验证，适合本地开发、内网测试或 CI/CD 环境。

快速生成证书（推荐单步命令）

执行以下命令，同时生成私钥（nginx.key）和自签名证书（nginx.crt）：

openssl req -x509 -nodes -days 365 -newkey rsa:2048 \
  -keyout nginx.key -out nginx.crt \
  -subj "/C=CN/ST=Beijing/L=Beijing/O=Test/CN=localhost" \
  -addext "subjectAltName = DNS:localhost,IP:127.0.0.1,IP:192.168.1.100"

说明：

-addext 是关键：现代浏览器强制校验 SAN（Subject Alternative Name），只填 CN=localhost 不够，必须显式加入所有可能访问的地址，比如 localhost、127.0.0.1 和你的实际内网 IP
OpenSSL 3.0+ 支持 -addext；若用 1.1.1 或更旧版本，需改用配置文件方式生成（可提供模板）
生成的 .key 文件无密码（-nodes 参数），Nginx 启动时不会卡住，适合自动化

证书文件权限与存放位置

把证书放好，并设严格权限，避免私钥泄露：

Nginx Config Linter

对 Nginx 配置文件进行语法检查、验证和安全、性能审计。

下载

建议路径：/etc/nginx/ssl/（Linux）或 C:\nginx\conf\ssl\（Windows）
设置权限：sudo chmod 600 nginx.key && sudo chmod 644 nginx.crt
确保 Nginx 主进程有读取权限，且目录不可被非 root 用户遍历

Nginx 配置 HTTPS server 块

在 nginx.conf 或站点配置文件中添加或修改 server 块：

server {
    listen 443 ssl;
    server_name localhost;

    ssl_certificate      /etc/nginx/ssl/nginx.crt;
    ssl_certificate_key  /etc/nginx/ssl/nginx.key;

    ssl_protocols        TLSv1.2 TLSv1.3;
    ssl_ciphers          ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256;
    ssl_prefer_server_ciphers off;

    location / {
        root   /usr/share/nginx/html;
        index  index.html;
    }
}

注意：

listen 443 ssl; 必须带 ssl 标志，否则 Nginx 不启用 TLS
如果还要支持 HTTP 跳转，可加一个 listen 80; 块并用 return 301 https://$host$request_uri;
ssl_protocols 至少启用 TLSv1.2，禁用已不安全的 SSLv3/TLSv1.0

验证与调试

配置完后别急着 reload，先检查语法和证书有效性：

检查配置：sudo nginx -t
重载服务：sudo nginx -s reload
浏览器访问 https://localhost，确认能加载页面（忽略警告）
终端验证：curl -k https://localhost（-k 跳过证书校验）或 openssl s_client -connect localhost:443 -servername localhost 查看证书详情