HTTPS API接口安全

ailx10说：这篇是在2025年3月之前写的，后来又改过。小工具做了一键升级，升级包放在云端，我又开始琢磨：不只是让客户端认服务器，服务器能不能也只接我自己的工具？于是自己签服务端和客户端证书，用 FastAPI、Uvicorn 和 requests 做双向证书验证。这篇从一个很具体的发布需求起步，把零信任里那个“不因为连上就先相信”的想法缩成最小实验。两边证书配好、请求真的能过之后，升级接口的访问控制也多了一条能看得见、能继续测试的条件。

---

客户端连接时使用的主机名或 IP 地址，应与服务端证书 SAN 中的相应身份匹配。以下是历史实验配置，路径需按环境调整；仅在隔离环境测试，保护私钥并按实际版本核验证书用途、有效期、吊销与授权策略。代码创建的 ssl_context 未传给 Uvicorn；服务实际使用传入 uvicorn.run 的 ssl_* 参数。HTTP Host 头不改变 TLS 证书的主机名校验。

（1）首先创建证书配置文件

cat > /Users/ailx10/mySecurity1/openssl.cnf << EOF
[req]
distinguished_name = req_distinguished_name
req_extensions = v3_req
prompt = no

[req_distinguished_name]
C = CN
ST = Beijing
L = Beijing
O = HackBiji
OU = IT Department
CN = hackbiji.com

[v3_req]
basicConstraints = CA:FALSE
keyUsage = nonRepudiation, digitalSignature, keyEncipherment
subjectAltName = @alt_names

[alt_names]
DNS.1 = hackbiji.com
DNS.2 = *.hackbiji.com
IP.1 = 127.0.0.1

[v3_ca]
subjectKeyIdentifier = hash
authorityKeyIdentifier = keyid:always,issuer:always
basicConstraints = CA:true
EOF

（2）生成自签名证书

#!/bin/bash

# 生成 CA 私钥和证书
openssl genrsa -out ca.key 4096
openssl req -new -x509 -days 3650 -key ca.key -out ca.crt -config openssl.cnf -extensions v3_ca \
    -subj "/C=CN/ST=Beijing/L=Beijing/O=HackBiji CA/OU=IT Department/CN=HackBiji Root CA"

# 生成服务器私钥和证书签名请求
openssl genrsa -out server.key 2048
openssl req -new -key server.key -out server.csr -config openssl.cnf

# 使用 CA 证书签名服务器证书
openssl x509 -req -days 3650 -in server.csr -CA ca.crt -CAkey ca.key -set_serial 01 \
    -out server.crt -extfile openssl.cnf -extensions v3_req -CAcreateserial

# 生成客户端私钥和证书签名请求
openssl genrsa -out client.key 2048
openssl req -new -key client.key -out client.csr \
    -subj "/C=CN/ST=Beijing/L=Beijing/O=HackBiji Client/OU=IT Department/CN=client.hackbiji.com"

# 使用 CA 证书签名客户端证书
openssl x509 -req -days 3650 -in client.csr -CA ca.crt -CAkey ca.key -set_serial 02 \
    -out client.crt -extfile openssl.cnf -extensions v3_req

# 验证证书
echo "验证服务器证书："
openssl x509 -in server.crt -text -noout | grep "Subject Alternative Name" -A 1
echo "验证客户端证书："
openssl x509 -in client.crt -text -noout

（2）服务端代码

from fastapi import FastAPI
import uvicorn
import ssl

app = FastAPI()

@app.get("/")
async def root():
    return {"message": "Hello from secure server!", "domain": "hackbiji.com"}

if __name__ == "__main__":
    ssl_context = ssl.create_default_context(ssl.Purpose.CLIENT_AUTH)
    ssl_context.verify_mode = ssl.CERT_REQUIRED
    ssl_context.load_cert_chain(certfile="server.crt", keyfile="server.key")
    ssl_context.load_verify_locations(cafile="ca.crt")
    
    uvicorn.run(
        app,
        host="0.0.0.0",
        port=8443,
        ssl_certfile="server.crt",
        ssl_keyfile="server.key",
        ssl_ca_certs="ca.crt",
        ssl_cert_reqs=ssl.CERT_REQUIRED
    )

在当次实验中，未配置受信任客户端证书的浏览器连接被重置；浏览器也可以配置有效的客户端证书。

（3）客户端代码

import requests

def make_request():
    cert = ('client.crt', 'client.key')
    verify = 'ca.crt'
    
    response = requests.get(
        'https://127.0.0.1:8443',
        cert=cert,
        verify=verify,
        headers={'Host': 'hackbiji.com'}
    )
    
    print(f"Status Code: {response.status_code}")
    print(f"Response: {response.json()}")

if __name__ == "__main__":
    make_request()

当次实验中，配置了客户端证书的请求成功建立连接。任何持有受信任证书及私钥的兼容客户端都可能通过验证。

直到后来，我才知道，原来金融行业一直都这么玩，我们苦苦追寻的究极炫酷技术，其实只是别人的起点。这种服务器验证客户端证书的做法叫做 双向 SSL/TLS 认证 （Mutual SSL/TLS Authentication）或 双向认证 （Mutual Authentication），有时也称为 双向 SSL 或 客户端证书认证 。双向 TLS 可让服务端验证客户端证书是否符合信任配置；还需要将证书身份映射到业务权限，并管理私钥、签发和吊销。

证书证明的是持有相应私钥，不自动证明只会由某个官方工具使用。业务权限、密钥分发和复制风险还在后面，网络连接这关做好，才方便继续往上加控制。