你是否在凌晨2点遇到过线上支付接口突然报错，提示SSL证书不受信任的情况？

2023年10月，上海某跨境电商平台的技术团队就遭遇了这样的危机。当时负责支付网关的供应商TLS证书过期，由于使用的是内部微服务架构，直接采用公网CA签发的证书会导致调用链路异常。团队负责人李明面临着两难抉择：要么等待公网CA的审核流程，眼睁睁看着每小时几十万的订单流失；要么自行搭建一套企业级PKI体系。最终他们选择了后者，并在4小时内完成了全链路替换。这次事件暴露出一个核心问题：很多技术团队对本地证书制作流程缺乏系统认知，往往在紧急情况下才临时抱佛脚。

说白了，这不仅仅是技术问题，更是架构设计的盲区。

本地证书制作流程的3个关键阶段

要真正掌握这套机制，必须理解其背后的逻辑链条。整个本地证书制作流程可以拆解为三个独立又关联的阶段：根证书初始化、中间CA搭建、终端实体签发。这三个阶段构成了一个完整的信任链传递体系。

第一阶段：根证书(CA)的生成与配置

这是整个体系的基石。2023年OWASP顶10安全报告中特别强调，超过67%的内部服务通信漏洞源于根证书管理的混乱。具体操作如下：

• 生成根私钥：使用OpenSSL执行 openssl genrsa -out rootCA.key 4096，这里必须指定4096位加密强度，2048位在当前算力下已存在被破解风险。
• 创建自签名根证书：有效期建议设置为10年（3650天），命令为 openssl req -x509 -new -nodes -key rootCA.key -sha256 -days 3650 -out rootCA.pem。
• 配置系统信任：这一步最容易被忽视。需要将rootCA.pem导入到所有需要建立信任的服务器系统证书库中，Linux系统通常位于 /usr/local/share/ca-certificates/。

坦白讲，很多团队在第一步就埋下了隐患——他们将根私钥直接存放在跳板机上，这无异于把保险柜钥匙挂在门外。

中间证书签发与终端实体证书的3大实操要点

在实际的数字证书生成步骤中，直接使用根证书签发业务证书是大忌。一旦根证书泄露，整个信任体系瞬间崩塌。正确的做法是建立中间CA层，这也是内网HTTPS部署的核心安全原则。

第二阶段：中间CA的建立

中间CA的作用类似于企业里的部门经理，它代替根证书行使签发权，即使中间证书被窃取，只需撤销该中间证书即可，不会波及根证书。操作时需要创建一个CSR（证书签名请求）文件，然后用根证书对其进行签名。关键参数包括：

• 路径长度限制(pathlen)必须设为0，防止中间CA再派生次级CA。
• 密钥用法需勾选