自签名HTTPS证书安全吗
你在开发一个本地项目，想让浏览器不报“不安全”的提示，于是顺手用 OpenSSL 生成了个自签名 HTTPS 证书。页面地址栏终于出现了小绿锁，心里踏实了。但这个“安全”是真的安全吗？
先说结论：自签名证书在技术上能加密通信内容，但不具备身份验证能力，所以它并不真正“安全”。
加密和信任是两回事
很多人以为 HTTPS 就是加密，加密就等于安全。其实 HTTPS 的作用有两个：一是加密传输数据，防止中间人窃听；二是验证服务器身份，确认你连的是真正的目标网站。商业 SSL 证书由受信任的 CA（证书颁发机构）签发，浏览器内置了这些 CA 的根证书，能自动验证身份。而自签名证书没有经过任何第三方认证，浏览器不认识它，自然会弹出警告。
比如你在公司内网搭了个管理后台，用自签名证书加密通信，员工访问时浏览器提示“此网站可能存在风险”，点击“高级-继续访问”才能进入。这时候虽然数据是加密的，但用户无法确认这个页面是不是被伪造的——攻击者完全可以伪造一个同名后台，也用自签名证书，用户照样能看到“继续访问”的选项。
自签名证书的典型使用场景
它适合那些不需要对外公开、仅限内部使用的环境。比如开发调试、测试服务器、局域网设备管理界面。这些地方重点是避免明文传输密码或敏感信息，而不是防范钓鱼攻击。
你可以用命令生成一个：
openssl req -x509 -newkey rsa:4096 -keyout key.pem -out cert.pem -sha256 -days 365 -nodes运行后会生成私钥和证书文件，在 Nginx 或 Node.js 服务中配置即可启用 HTTPS。但别指望它能让所有人安心访问。
为什么浏览器不信任自签名证书
浏览器的信任机制建立在“信任链”基础上。当你访问 https://www.example.com，服务器返回证书，浏览器会逐级向上验证是否由可信 CA 签发。自签名证书没有上级机构，相当于自己证明自己，就像一个人拿着自己写的“我是好人”证明去银行办业务，银行当然不会认。
有些企业会在内网统一部署根证书，把自签名的根证书手动安装到所有员工电脑上。这样一来，由该根签发的证书就能被自动信任。但这需要运维配合，普通用户根本做不到。
有没有更安全的替代方案
如果你只是做本地开发，推荐使用 mkcert 这类工具。它能在本地创建一个受信任的私有 CA，并自动将根证书安装到系统和浏览器中。然后你用它签发的证书，既不用花钱，也不会被浏览器拦截。
例如：
mkcert localhost 127.0.0.1 ::1这条命令生成的证书会被 Chrome、Firefox 等主流浏览器认可，开发体验接近正式环境。
对于面向公众的服务，还是老老实实用 Let’s Encrypt 免费证书。它由国际公认的 CA 提供，自动化程度高，99% 的现代设备都支持，安全性和可用性兼顾。