从2023年起，OpenSSL≥1.1.1，以下命令可满足您的所有需求，包括主题备用名称（SAN）：

openssl req -x509 -newkey rsa:4096 -sha256 -days 3650 -nodes \
  -keyout example.key -out example.crt -subj "/CN=example.com" \
  -addext "subjectAltName=DNS:example.com,DNS:www.example.net,IP:10.0.0.1"

在OpenSSL≤1.1.0的旧系统上，如Debian≤9或CentOS≤7，需要使用此命令的更长版本：

openssl req -x509 -newkey rsa:4096 -sha256 -days 3650 -nodes \
  -keyout example.key -out example.crt -extensions san -config \
  <(echo "[req]"; 
    echo distinguished_name=req; 
    echo "[san]"; 
    echo subjectAltName=DNS:example.com,DNS:www.example.net,IP:10.0.0.1
    ) \
  -subj "/CN=example.com"

任一命令都创建一个证书

对于（子）域example.com和www.example.net（SAN）有效，对于IP地址10.0.0.1（SAN）也是有效的，相对强劲（截至2023年）有效期为3650天（约10年）。

将生成以下文件：

私钥：example.key证书：example.crt

所有信息都在命令行中提供。没有让你烦恼的互动输入。没有你必须处理的配置文件。所有必要的步骤都由单个OpenSSL调用执行：从私钥生成到自签名证书。

备注#1：加密参数

由于证书是自签名的，需要用户手动接受，因此使用短到期或弱加密是没有意义的。

未来，您可能希望使用超过4096位的RSA密钥和比sha256更强的哈希算法，但截至2023年，这些都是正常的值。它们足够强大，同时受到所有现代浏览器的支持。

备注#2：参数“-nodes”

理论上，您可以省略-nodes参数（这意味着“没有DES加密”），在这种情况下，example.key将使用密码进行加密。然而，这对于服务器安装几乎从来都没有用处，因为您要么必须将密码也存储在服务器上，要么必须在每次重新启动时手动输入密码。

备注#3：另请参见

直接在命令行上向openssl提供subjectAltName如何通过命令行向SSL证书添加多个电子邮件地址？有关MSYS_NO_PATHCONV的更多信息

这对我有用

openssl req -x509 -nodes -subj '/CN=localhost'  -newkey rsa:4096 -keyout ./sslcert/key.pem -out ./sslcert/cert.pem -days 365

服务器.js

var fs = require('fs');
var path = require('path');
var http = require('http');
var https = require('https');
var compression = require('compression');
var express = require('express');
var app = express();

app.use(compression());
app.use(express.static(__dirname + '/www'));    

app.get('/*', function(req,res) {
  res.sendFile(path.join(__dirname+'/www/index.html'));
});

// your express configuration here

var httpServer = http.createServer(app);
var credentials = {
    key: fs.readFileSync('./sslcert/key.pem', 'utf8'),
    cert: fs.readFileSync('./sslcert/cert.pem', 'utf8')
};
var httpsServer = https.createServer(credentials, app);

httpServer.listen(8080);
httpsServer.listen(8443);

console.log(`RUNNING ON  http://127.0.0.1:8080`);
console.log(`RUNNING ON  http://127.0.0.1:8443`);

我不能评论，所以我补充了一个单独的答案。我试图为NGINX创建一个自签名证书，这很简单，但当我想将其添加到Chrome白名单时，我遇到了一个问题。我的解决方案是创建一个根证书并用它签署一个子证书。

所以一步一步。创建文件config_ssl_c.cnf注意，配置文件有一个选项basicConstraints=CA:true，这意味着该证书应该是根证书。

这是一个很好的做法，因为您只需创建一次即可重复使用。

[ req ]
default_bits = 2048

prompt = no
distinguished_name=req_distinguished_name
req_extensions = v3_req

[ req_distinguished_name ]
countryName=UA
stateOrProvinceName=root region
localityName=root city
organizationName=Market(localhost)
organizationalUnitName=roote department
commonName=market.localhost
emailAddress=root_email@root.localhost

[ alternate_names ]
DNS.1        = market.localhost
DNS.2        = www.market.localhost
DNS.3        = mail.market.localhost
DNS.4        = ftp.market.localhost
DNS.5        = *.market.localhost

[ v3_req ]
keyUsage=digitalSignature
basicConstraints=CA:true
subjectKeyIdentifier = hash
subjectAltName = @alternate_names

子证书的下一个配置文件将调用config_ssl.cnf。

[ req ]
default_bits = 2048

prompt = no
distinguished_name=req_distinguished_name
req_extensions = v3_req

[ req_distinguished_name ]
countryName=UA
stateOrProvinceName=Kyiv region
localityName=Kyiv
organizationName=market place
organizationalUnitName=market place department
commonName=market.localhost
emailAddress=email@market.localhost

[ alternate_names ]
DNS.1        = market.localhost
DNS.2        = www.market.localhost
DNS.3        = mail.market.localhost
DNS.4        = ftp.market.localhost
DNS.5        = *.market.localhost

[ v3_req ]
keyUsage=digitalSignature
basicConstraints=CA:false
subjectAltName = @alternate_names
subjectKeyIdentifier = hash

第一步-创建根密钥和证书

openssl genrsa -out ca.key 2048
openssl req -new -x509 -key ca.key -out ca.crt -days 365 -config config_ssl_ca.cnf

第二步创建子密钥和文件CSR-证书签名请求。因为这样做的目的是通过root签名子证书并获得正确的证书

openssl genrsa -out market.key 2048
openssl req -new -sha256 -key market.key -config config_ssl.cnf -out market.csr

打开Linux终端并执行以下命令

echo 00 > ca.srl
touch index.txt

ca.srl文本文件包含下一个要使用的十六进制序列号。强制性的此文件必须存在并包含有效的序列号。

最后一步，再创建一个配置文件，并将其命名为config_ca.cnf

# we use 'ca' as the default section because we're usign the ca command
[ ca ]
default_ca = my_ca

[ my_ca ]
#  a text file containing the next serial number to use in hex. Mandatory.
#  This file must be present and contain a valid serial number.
serial = ./ca.srl

# the text database file to use. Mandatory. This file must be present though
# initially it will be empty.
database = ./index.txt

# specifies the directory where new certificates will be placed. Mandatory.
new_certs_dir = ./

# the file containing the CA certificate. Mandatory
certificate = ./ca.crt

# the file contaning the CA private key. Mandatory
private_key = ./ca.key

# the message digest algorithm. Remember to not use MD5
default_md = sha256

# for how many days will the signed certificate be valid
default_days = 365

# a section with a set of variables corresponding to DN fields
policy = my_policy

# MOST IMPORTANT PART OF THIS CONFIG
copy_extensions = copy

[ my_policy ]
# if the value is "match" then the field value must match the same field in the
# CA certificate. If the value is "supplied" then it must be present.
# Optional means it may be present. Any fields not mentioned are silently
# deleted.
countryName = match
stateOrProvinceName = supplied
organizationName = supplied
commonName = market.localhost
organizationalUnitName = optional
commonName = supplied

您可能会问，为什么这么难，为什么我们必须再创建一个配置来按根签名子证书。答案很简单，因为子证书必须具有SAN块-主题替代名称。如果我们使用“openssl x509”utils对子证书进行签名，则根证书将删除子证书中的SAN字段。因此，我们使用“opensslca”而不是“opensslx509”来避免删除SAN字段。我们创建一个新的配置文件，并告诉它复制所有扩展字段copy_extensions=copy。

openssl ca -config config_ca.cnf -out market.crt -in market.csr

该程序会问您两个问题：

签署证书？说“Y”1个证书请求中有1个已认证，是否提交？说“Y”

在终端中，您可以看到一个带有单词“Database”的句子，它表示您通过命令“touch”创建的文件index.txt。它将包含由“openssl-ca”util创建的所有证书的所有信息。要检查证书的有效性，请使用：

openssl rsa -in market.key -check

如果您想查看CRT中的内容：

openssl x509 -in market.crt -text -noout

如果您想了解CSR的内部内容：

openssl req -in market.csr -noout -text 

一个内衬FTW。我喜欢保持简单。为什么不使用一个包含所有所需参数的命令？这就是我喜欢的方式-这将创建一个x509证书及其PEM密钥：

openssl req -x509 \
 -nodes -days 365 -newkey rsa:4096 \
 -keyout self.key.pem \
 -out self-x509.crt \
 -subj "/C=US/ST=WA/L=Seattle/CN=example.com/emailAddress=someEmail@gmail.com"

该命令包含通常为证书详细信息提供的所有答案。通过这种方式，您可以设置参数并运行命令，获取输出，然后喝咖啡。

>>更多信息请点击此处<<

生成10年无密码和证书的密钥，短方法：

openssl req  -x509 -nodes -new  -keyout server.key -out server.crt -days 3650 -subj "/C=/ST=/L=/O=/OU=web/CN=www.server.com"

对于标志-subj |，允许使用subject空值-subj“/C=/ST=/L=/O=/OU=web/CN=www.server.com”，但可以根据需要设置更多详细信息：

C-国家名称（2字母代码）ST-状态L-地点名称（如城市）O-组织名称OU-组织单位名称CN-通用名称-必填！

从2023年起，OpenSSL≥1.1.1，以下命令可满足您的所有需求，包括主题备用名称（SAN）：

openssl req -x509 -newkey rsa:4096 -sha256 -days 3650 -nodes \
  -keyout example.key -out example.crt -subj "/CN=example.com" \
  -addext "subjectAltName=DNS:example.com,DNS:www.example.net,IP:10.0.0.1"

在OpenSSL≤1.1.0的旧系统上，如Debian≤9或CentOS≤7，需要使用此命令的更长版本：

openssl req -x509 -newkey rsa:4096 -sha256 -days 3650 -nodes \
  -keyout example.key -out example.crt -extensions san -config \
  <(echo "[req]"; 
    echo distinguished_name=req; 
    echo "[san]"; 
    echo subjectAltName=DNS:example.com,DNS:www.example.net,IP:10.0.0.1
    ) \
  -subj "/CN=example.com"

任一命令都创建一个证书

对于（子）域example.com和www.example.net（SAN）有效，对于IP地址10.0.0.1（SAN）也是有效的，相对强劲（截至2023年）有效期为3650天（约10年）。

将生成以下文件：

私钥：example.key证书：example.crt

所有信息都在命令行中提供。没有让你烦恼的互动输入。没有你必须处理的配置文件。所有必要的步骤都由单个OpenSSL调用执行：从私钥生成到自签名证书。

备注#1：加密参数

由于证书是自签名的，需要用户手动接受，因此使用短到期或弱加密是没有意义的。

未来，您可能希望使用超过4096位的RSA密钥和比sha256更强的哈希算法，但截至2023年，这些都是正常的值。它们足够强大，同时受到所有现代浏览器的支持。

备注#2：参数“-nodes”

理论上，您可以省略-nodes参数（这意味着“没有DES加密”），在这种情况下，example.key将使用密码进行加密。然而，这对于服务器安装几乎从来都没有用处，因为您要么必须将密码也存储在服务器上，要么必须在每次重新启动时手动输入密码。

备注#3：另请参见

直接在命令行上向openssl提供subjectAltName如何通过命令行向SSL证书添加多个电子邮件地址？有关MSYS_NO_PATHCONV的更多信息