WINDOWS 2017年6月WINDOWS Server 2012

我听从了布拉德·帕克斯的回答。在Windows上，您应该在受信任的根证书颁发机构存储中导入rootCA.pem。

我执行了以下步骤：

openssl genrsa -out rootCA.key 4096
openssl req -x509 -new -nodes -key rootCA.key -newkey rsa:4096 -sha256 -days 1024 -out rootCA.pem
openssl req -new -newkey rsa:4096 -sha256 -nodes -keyout device.key -out device.csr
openssl x509 -req -in device.csr -CA rootCA.pem -CAkey rootCA.key -CAcreateserial -out device.crt -days 2000 -sha256 -extfile v3.ext

其中v3.ext为：

authorityKeyIdentifier=keyid,issuer
basicConstraints=CA:FALSE
keyUsage = digitalSignature, nonRepudiation, keyEncipherment, dataEncipherment
subjectAltName = @alt_names

[alt_names]
DNS.1 = localhost
IP.1 = 192.168.0.2
IP.2 = 127.0.0.1

然后，在我的例子中，我有一个自托管的web应用程序，所以我需要将证书与IP地址和端口绑定，证书应该在我的存储库中，并带有私钥信息，所以我导出为pfx格式。

openssl pkcs12 -export -out device.pfx -inkey device.key -in device.crt

使用mmc控制台（文件/添加或删除管理单元/证书/添加/计算机帐户/本地计算机/确定），我在个人存储中导入了pfx文件。

后来我使用这个命令绑定证书（您也可以使用HttpConfig工具）：

netsh http add sslcert ipport=0.0.0.0:12345 certhash=b02de34cfe609bf14efd5c2b9be72a6cb6d6fe54 appid={BAD76723-BF4D-497F-A8FE-F0E28D3052F4}

certhash=证书Thumprint

appid=GUID（您的选择）

首先，我尝试以不同的方式在受信任的根证书颁发机构上导入证书“device.crt”，但仍然收到相同的错误：

但我意识到我应该导入根权限的证书，而不是域的证书。所以我使用mmc控制台（文件/添加或删除管理单元/证书/添加/计算机帐户/本地计算机/OK），在受信任的根证书颁发机构存储中导入了rootCA.pem。

重新启动Chrome，它就可以工作了。

使用localhost：

或IP地址：

我唯一做不到的是，它有过时的密码（图片上的红色方框）。在这一点上，我们非常感谢帮助。

使用makecert，无法添加SAN信息。使用NewSelfSignedCertificate（Powershell），您可以添加SAN信息，它也可以工作。

这篇文章已经得到了大量的响应，但我基于其他一些答案创建了一个bash脚本，以便更容易生成在Chrome中有效的自签名TLS证书（在Chrome65.x中测试）。希望它对其他人有用。

自签名tls-bash脚本

安装（并信任）证书后，不要忘记重新启动Chrome(chrome://restart)

另一个值得一看的工具是CloudFlare的cfssl工具包：

cfssl

mac/osx上的SSL/HTTPS localhost修复程序：

尝试打开https localhost环境时，单击地址栏中带有十字的红色锁。将打开一个窗口，其中包含有关证书的一些信息。单击“详细信息”信息窗口chrome Developer工具在“安全”选项卡上打开。单击查看证书。证书映像将其添加到您的“System”钥匙链（而不是默认选择的“login”钥匙链）。再次打开钥匙链并找到证书。点击它，确保你“信任”所有人。重新启动chrome，它应该可以工作。

我继续使用bjnord建议的方法，即：Google Chrome、Mac OS X和自签名SSL证书

博客中显示的内容不起作用。

然而，该博客的一条评论是金色的：

sudo安全添加可信证书-d-r trustRoot-k/Library/Keychains/Systemkeychain site.crt

你需要关注博客中关于如何获取cert文件的内容，然后你可以使用上面的命令，应该很好。

我不得不调整macosx上的Chrome启动程序，并添加了以下脚本。保存如下：；

/应用程序/Google\Chrome.app/Contents/MacOS/Chrome.com命令

#!/bin/sh
RealBin="Google Chrome"
AppDir="$(dirname "$0")"
exec "$AppDir/$RealBin" --ignore-certificate-errors "$@"

当我用这个脚本启动Chrome时，自签名证书可以正常工作。但是，不要使用使用此脚本启动的浏览器浏览网页，您将不会收到有关无效证书的警告！

更新日期：2020年4月23日

铬团队推荐

https://www.chromium.org/Home/chromium-security/deprecating-powerful-features-on-insecure-origins#TOC-测试强大功能

快速超级简单解决方案

有一个秘密的绕过短语，可以在错误页面中输入，让Chrome不顾安全错误继续运行：这是不安全的（在早期版本的Chrome中，键入baddidea，甚至更早版本的危险）。除非你完全明白为什么需要它，否则不要使用它！

资料来源：

https://chromium.googlesource.com/chromium/src/+/d8fc089b62cd4f8d907acff6fb3f5ff58f168697%5E%21/

（注意，window.atob（'dGhpc2lzdW5zYWZl'）解析为此isnsafe）

源的最新版本为@https://chromium.googlesource.com/chromium/src/+/refs/heads/master/components/security_interentials/corebrowser/resources/intertial_large.js和window.atob函数可以在js控制台中执行。

有关Chrome团队为何更改旁路短语（第一次）的背景信息：

https://bugs.chromium.org/p/chromium/issues/detail?id=581189

如果所有其他方法都失败（解决方案1）

对于快速一次性，如果“无论如何继续”选项不可用，或者旁路短语也不起作用，这个黑客很好：

通过启用此标志，允许来自本地主机的证书错误（注意，更改标志值后，Chrome需要重新启动）：chrome://flags/#allow-不安全的本地主机（并投票赞成答案https://stackoverflow.com/a/31900210/430128作者@Chris）如果要连接的站点是localhost，那么就完成了。否则，设置TCP隧道以在本地侦听端口8090，并连接到端口443上的broken-remote-site.com，确保已安装socat并在终端窗口中运行以下内容：socat tcp侦听：8090，reuseddr，fork tcp：断开远程站点.com:443去https://localhost:8090在浏览器中。

如果所有其他方法都失败（解决方案#2）

类似于“如果所有其他都失败（解决方案#1）”，这里我们使用ngok为本地服务配置代理。因为您可以通过TLS访问ngrok http隧道（在这种情况下，它由ngrok使用有效证书终止），也可以通过非TLS端点访问，所以浏览器不会抱怨证书无效。

下载并安装ngrok，然后通过ngrok.io公开它：

ngrok http https://localhost

ngok将启动并为您提供一个可以连接到的主机名，所有请求都将通过隧道传输回本地计算机。