PKI - 借助Nginx 实现Https_使用CA签发证书

 作者简介：大家好，我是码炫码哥，前中兴通讯、美团架构师，现任某互联网公司CTO，兼职码炫课堂主讲源码系列专题

代表作：《jdk源码&多线程&高并发》，《深入tomcat源码解析》，《深入netty源码解析》，《深入dubbo源码解析》，《深入springboot源码解析》，《深入spring源码解析》，《深入redis源码解析》等

联系qq：184480602，加我进群，大家一起学习，一起进步，一起对抗互联网寒冬。码炫课堂的个人空间-码炫码哥个人主页-面试，源码等

释放21集全网最深ConcurrentHashMap的vip视频，复现每一行源码

概述

使用 CA 签发证书的主要原因和作用如下：

1. 建立信任关系： 使用 CA 签发的证书可以建立信任关系，客户端可以信任由公认的 CA 颁发的证书，从而确保与服务器之间的通信是安全可靠的。
2. 保证身份验证： CA 对证书申请者进行身份验证，并在验证通过后签发证书。这样，服务器可以通过 CA 签发的证书来证明自己的身份，确保客户端与合法的服务器进行通信，防止中间人攻击。
3. 保护通信数据： 证书中包含了公钥，可以用于加密通信数据。使用 CA 签发的证书可以保护通信数据的机密性，防止数据被窃取或篡改。
4. 提供数据完整性： 证书中包含了数字签名，可以用于验证通信数据的完整性。使用 CA 签发的证书可以确保通信数据在传输过程中没有被篡改。

总之，使用 CA 签发证书可以确保通信的安全性、可靠性和完整性，为网络通信提供了重要的保护和信任基础。

---

操作步骤

如下OpenSSL 命令，用于生成自签名的 CA（Certificate Authority，证书颁发机构）证书以及服务器证书。

1. 生成 CA 密钥对

    openssl genrsa -out ca.key 2048

这个命令生成了一个 2048 位的 RSA 密钥对，私钥保存在 ca.key 文件中。

---

2. 生成自签名的 CA 证书

    openssl req -x509 -new -nodes -key ca.key -subj "/CN=artisan-ca.com" -days 5000 -out ca.crt

这个命令使用生成的 CA 密钥对生成了一个自签名的 CA 证书。
-x509 选项表示生成一个自签名的 X.509 证书，
-subj 选项用于指定证书的主题信息，
-days 选项用于指定证书的有效期，
-out 选项用于指定输出的证书文件名。

查看生成的证书信息，证明这是一个自签的CA证书 。

---

3. 生成服务器密钥对和证书签名请求 (CSR)

    # 服务器的 RSA 密钥对
    openss