自签证书被客户端提示“不受信任”的本质是客户端未将自建根证书纳入信任锚点；需将ca.crt导入各客户端系统/应用信任库，并确保apache配置使用server.crt与ca.crt拼接的fullchain.crt。

自签证书在客户端提示“不受信任”，本质是客户端找不到可信锚点——它没在系统或应用的信任库中。apache 本身不解决信任问题，只负责把证书发出去；真正要让客户端接受，得从证书分发和客户端配置两头入手。

给客户端装上你的根证书

自签证书不是由公共 CA 签发的，所以浏览器、安卓、Java 等默认都不认。必须把你的自建 CA 根证书（不是域名证书，也不是私钥）导入到每个客户端的信任库中：

• Windows：双击 .crt 文件 → “安装证书” → 选择“本地计算机” → 存入“受信任的根证书颁发机构”
• macOS：用“钥匙串访问”打开证书 → 右键 → “显示简介” → “信任”下拉选“始终信任”
• Android（7.0+）：设置 → 安全 → 加密与凭据 → 从存储设备安装 → 选根证书文件 → 输入锁屏密码确认
• Java 应用：用 keytool 把根证书导入 $JAVA_HOME/lib/security/cacerts：
  keytool -importcert -alias my-ca -file CA.crt -keystore $JAVA_HOME/lib/security/cacerts -storepass changeit

确保 Apache 发的是完整链（即使自签也建议拼好）

虽然自签证书没有中间 CA，但 Apache 配置仍需规范，避免因格式或路径引发额外错误：

Apache Superset Dashboard and SQL Exploration Skill

Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。

下载

• 把自签的域名证书（如 server.crt）和你生成它的根证书（CA.crt）按顺序合并成一个文件：
  cat server.crt CA.crt > fullchain.crt
• Apache 配置中只用这一份：
  SSLCertificateFile /path/to/fullchain.crt
  SSLCertificateKeyFile /path/to/server.key
• 删掉所有 SSLCertificateChainFile 行（Apache 2.4.8+ 已废弃，留着反而可能报错）

开发阶段可临时绕过验证（仅限测试）

如果只是本地调试、不想每台机器都装证书，可用客户端侧临时跳过校验，但严禁用于生产环境：

• curl 命令：加 -k 或 --insecure
• Python requests：调用时传 verify=False
• Java 代码：用空实现的 TrustManager 初始化 SSLContext（仅限单元测试或脚本）
• Chrome 浏览器：在报错页直接输入 thisisunsafe（英文输入法下连续敲，无空格）

别忽略基础细节

很多“不受信任”其实跟证书本身无关，而是低级但高频的问题：

• 系统时间不准：偏差超过 5 分钟，证书就显示“已过期”或“尚未生效”。务必开启自动时间同步
• CN 或 SAN 不匹配：证书里写的域名或 IP 必须和你访问的 URL 完全一致。用 openssl x509 -in server.crt -text -noout 检查 Subject 和 X509v3 Subject Alternative Name
• 私钥权限过大：Apache 启动用户（如 www-data）必须能读取 .key 文件，但不能被其他用户写入。推荐权限设为 600