如何使https：//localhost：port在嵌入式Jetty中使用自签名证书？

Question

目标：我希望此url（https：//localhost:8083)在我的本地计算机上使用我的自签名证书。

首先，我引用了这个url(https://gist.github.com/oslego/f13e136ffeaa6174289a)，我所做的是：

$openssl genrsa-des3-out server.orig.key 2048

$openssl rsa-输入server.orig.key-输出server.key

$openssl请求-新建-密钥服务器.密钥-退出服务器.CSR

国家名称（2个字母代码）[AU]:

...

通用名称：localhost.ssl

$openssl x509-输入server.crt-输出keystore.PEM-输出PEM

$keytool-import-trustcacerts-alias testCert-file keystore.pem-keypass testpassword-keystore keystore.jks-storepass testpassword

$keytool-export-alias mykey-keystore keystore.jks-rfc-file truststore

$vim keystore.password//通过vim手动创建的keystore.password

但当我访问https://localhost:8083时，它不能与SSL一起工作。

然后，
我还创建了另一个证书

另外，我使用嵌入式Jetty，Java通过定义keystore.jks、truststore和keystore.password文件位置的配置文件正确读取所有信息。

Answer 1

（1）指示您执行genrsa加密操作，然后rsa删除加密操作，这很好地表明某人不知道他们在说什么，并且至少有10年没有阅读手册页。指示您执行req-new然后执行x509-req-signkey是一个极好的指示，表明某人不知道自己在说什么，并且至少有5年没有阅读手册页。我建议完全忽略任何网站或作者说那些事情。此外，x509-req-signkey或req-new-x509输出的证书已经是PEM，不需要任何转换。

（2）您指出将名称转换放在/private/etc/hosts中，并且没有给出您正在使用的浏览器和/或其他客户端或中间件的任何线索，但我从未听说过任何客户端使用这样的文件来进行名称解析，除非您正在使用一个监狱或某种类型的容器，您没有提出问题。（几乎所有Unix系统都使用或可以使用/etc/hosts，但这并不相同。）

（3）你也不知道“不起作用”是什么意思。但是，如果这意味着握手失败，因为密码不匹配（并不总是这样识别），那无疑是因为您在Java密钥存储库中放置了证书，从而在SSL/TLS服务器需要私钥时只给了Jetty您的证书。这使得这个问题与https://stackoverflow.com/a/37423399/2868801中链接的多个问题重复，这些问题都解释了您需要使用OpenSSL pkcs12-export将证书和privatekey转换为pkcs12文件，然后使用或转换Java中的pkcs12文件，但细节略有不同。

(4)jww部分正确；当前的标准要求证书包含SubjectAltName(SAN)扩展，您应该这样做--使用req-new-x509而不是您所拥有的方法，这要容易得多，请参见（1）。但是到目前为止，只有Chrome强制执行了这一要求，所以一个正式过时的、仅带有subject.cn的证书实际上可以在其他客户机中工作--一旦您将他们设置为信任这个证书，这对于Selfsigned来说总是一个问题。