SSL 证书如何对企业自签名证书进行客户端信任配置

企业自签名证书需显式加入信任链，核心是让各应用正确加载根证书：浏览器需手动导入并设为始终信任；Linux/macOS/Windows系统级工具须将证书置入对应CA目录并更新信任库；Node.js需设置NODE_EXTRA_CA_CERTS环境变量；Java应用则须用keytool导入JRE cacerts。

企业自签名证书本身不被操作系统或浏览器默认信任，必须通过客户端配置显式加入信任链。关键不是“安装证书”，而是让目标应用（浏览器、Node.js、Java、系统级工具）明确识别并加载该证书。

浏览器手动导入根证书（Chrome/Firefox/Edge）

适用于开发测试、内网管理平台等场景，需在每台终端操作：

1. 获取企业根证书文件（通常是 .pem 或 .crt 格式，由IT部门统一提供）
2. Chrome / Edge：地址栏输入 chrome://settings/security/managedCertificateAuthorities → 点击“管理证书” → “受信任的根证书颁发机构” → “导入” → 选择证书文件 → 勾选“根据证书类型自动选择存储区”
3. Firefox：设置 → 隐私与安全 → 查看证书 → “证书机构” → “导入” → 勾选“信任此CA用于标识 ”
4. macOS：双击证书 → 在“钥匙串访问”中打开 → 拖入“系统”钥匙串 → 右键证书 → “显示简介” → 展开“信任” → 将“使用此证书时”设为“始终信任” → 关闭并输入密码确认
5. Windows：右键证书 → “安装证书” → 选择“本地计算机” → 存储位置选“受信任的根证书颁发机构” → 完成

系统级证书信任（Linux/macOS/Windows）

让 curl、git、wget、Node.js（未设 NODE_EXTRA_CA_CERTS 时）等命令行工具自动信任：

1. Linux（RHEL/CentOS）：将根证书复制到 /etc/pki/ca-trust/source/anchors/，运行 sudo update-ca-trust
2. Linux（Debian/Ubuntu）：将证书放入 /usr/local/share/ca-certificates/，运行 sudo update-ca-certificates
3. macOS：用 security add-trusted-cert -d -r trustRoot -k /System/Library/Keychains/SystemRootCertificates.keychain your-ca.crt（推荐存入 SystemRootCertificates）
4. Windows：通过 PowerShell 执行 Import-Certificate -FilePath your-ca.crt -CertStoreLocation Cert:LocalMachineRoot（需管理员权限）

Node.js 应用信任配置

VSCode 内置终端、调试器、ESLint、TypeScript Server 等依赖 Node.js 的组件，默认只读系统证书库，不自动加载企业 CA：

1. 将根证书（PEM 格式）保存至固定路径，例如：/opt/certs/internal-ca.pem（Linux/macOS）或 C:certsinternal-ca.pem（Windows）
2. 启动 VSCode 前设置环境变量：NODE_EXTRA_CA_CERTS=/opt/certs/internal-ca.pem（Linux/macOS），或 set NODE_EXTRA_CA_CERTS=C:certsinternal-ca.pem & code（Windows CMD）
3. 若从桌面图标启动，需修改快捷方式属性（Windows）或 .desktop 文件（Linux），在执行命令前注入该变量
4. 验证：VSCode 终端中运行 console.log(process.env.NODE_EXTRA_CA_CERTS)，再执行 curl https://your-internal-api.example 测试是否成功

Java 应用信任配置

Tomcat、Spring Boot、Jenkins 等 Java 服务或客户端需将证书导入 JRE 的 cacerts 信任库：

1. 导出企业根证书为 DER 或 PEM 格式（如 internal-ca.crt）
2. 执行命令：keytool -import -trustcacerts -alias myinternalca -file internal-ca.crt -keystore $JAVA_HOME/jre/lib/security/cacerts -storepass changeit
3. 若使用自定义 JRE 或容器化部署，需确保该 cacerts 文件被实际加载（可通过 -Djavax.net.ssl.trustStore=... 显式指定路径）
4. 重启 Java 进程生效