OpenSSL 基础：安装、配置与核心命令

说实话，每次配置 TLS 环境，我第一件事就是检查 OpenSSL 的版本。这玩意儿就像瑞士军刀，基础但必不可少。我自己在项目中见过太多次因为 OpenSSL 版本不对而导致证书生成失败的情况，所以咱们先从最基础的开始。

1. 安装与配置

OpenSSL 的安装很简单。但不同系统有细微差别，我习惯先确认一下。

2. 核心概念

在用 OpenSSL 之前，你得搞明白三个东西：密钥、CSR、证书。它们的关系很简单：

• 密钥（Key）：私有的，你得藏好。丢了它，你的证书就等于废纸。
• CSR（证书签名请求）：公开部分 + 你的身份信息，发给 CA 去签名。
• 证书（Certificate）：CA 签过字的 CSR，别人用它来验证你的身份。

你想想看，这三者缺了任何一个，TLS 握手都完不成。我记得有一回客户报错说证书装不上，我检查半天发现是私钥和证书不匹配——他们自己手动改过 CSR 的 CN 字段。

3. 常用命令实战

我个人习惯把这组命令背得滚瓜烂熟，因为几乎每个 TLS 项目都会用到。

3.1 生成私钥

生成 RSA 私钥是最常见的。通常情况下用 2048 位就够了，但如果你不放心，可以用 4096。

# 生成 2048 位 RSA 私钥
openssl genrsa -out server.key 2048

# 如果需要加密保护私钥（加个密码）
openssl genrsa -aes256 -out server.key 2048

3.2 从私钥提取公钥

有时候别人只需要你的公钥做验证，你不能把整个私钥给他。

# 从私钥中提取公钥
openssl rsa -in server.key -pubout -out server.pub

嗯，这个命令我几乎是肌肉记忆了。每次 CI/CD 流水线里分发密钥时都得跑一遍。

3.3 生成 CSR

生成 CSR 时，你需要提供一些信息。最常见的是 CN（Common Name），也就是你的域名。

# 用刚才的私钥生成 CSR
openssl req -new -key server.key -out server.csr

# 如果你想一步到位（非交互式），可以这样
openssl req -new -key server.key -out server.csr \
  -subj "/C=CN/ST=Beijing/L=Beijing/O=MyCompany/OU=IT/CN=www.example.com"

这里有个坑——CN 必须和你的网站域名完全一致。我遇到过有人写 example.com 但实际用的是 www.example.com，结果浏览器直接报证书错误。

3.4 生成自签名证书

自签名证书最适合开发和测试阶段。生产环境不建议用，但你要是只是内网调试，完全够用。

# 一步到位，生成私钥 + 自签名证书（有效期365天）
openssl req -x509 -newkey rsa:2048 -keyout server.key \
  -out server.crt -days 365 -nodes

# 如果你已有私钥，只生成证书
openssl req -x509 -key server.key -out server.crt -days 365 \
  -subj "/CN=localhost"

4. 核心流程：一张图看懂

我画了一张图，把刚才讲到的全部串起来。你顺着箭头走一遍，就全明白了。

这张图的要点就是：私钥是根，CSR是中间件，证书是最终产物。不管是自签还是CA签发，私钥一定是你最先创造的。

5. 验证你的产出

生成完证书和私钥，你怎么知道它们对不对？我教你三条命令：

# 检查私钥是否完好
openssl rsa -in server.key -check -noout

# 检查证书信息
openssl x509 -in server.crt -text -noout | grep -E "Subject:|Issuer:|Not Before|Not After"

# 检查私钥和证书是否匹配（对比两者的模数）
openssl rsa -modulus -in server.key -noout | openssl md5
openssl x509 -modulus -in server.crt -noout | openssl md5
# 两个 md5 值必须完全一致

6. 总结一张表

我把四个核心命令整理成一张表，方便你快速查阅。