我的书签
添加书签
移除书签客户端和服务器都互相验证对方的证书。
普通的 Web 网站只采用第一种方式，第二种方式用于网上银行等安全性要求较高的网站。
在第二种方式中，客户端采用这种方式验证证书：服务器自己的证书必须经过某“权威”证书的签名，而这个“权威”证书又可能经过更权威的证书签名，这么一级一级追溯上去，最顶层那个最权威的证书就称为根证书。根证书直接内置在浏览器中，这样，浏览器就可以利用自己自带的根证书去验证某个服务器的证书是否有效。如果要提供一个有效的证书，服务器的证书必须从这样的证书颁发机构签名。这样，浏览器就可以验证通过，否则，浏览器给出一个证书无效的警告。一般安全要求较高的内网环境，可以通过创建自签名 �SSL 证书来加密通信。
在 HTTPS 的传输过程中，有一个非常关键的角色—数字证书，那什么是数字证书？它有什么作用呢？
所谓数字证书，是一种用于电脑的身份识别机制。由数字证书颁发机构(CA)对使用私钥创建的签名请求文件做的签名(盖章)，表示 CA 结构对证书持有者的认可。
数字证书拥有以下几个优点:
- 使用数字证书能够提高用户的可信度；
- 数字证书中的公钥，能够与服务端的私钥配对使用，实现数据传输过程中的加密和解密；
- 在证认使用者身份期间，使用者的敏感个人数据并不会被传输至证书持有者的网络系统上。
x509 的证书编码格式有两种:
PEM(Privacy-enhanced Electronic Mail)是明文格式的，以 ——-BEGIN CERTIFICATE——-开头，以——-END CERTIFICATE——-结尾。中间是经过 base64 编码的内容，apache 需要的证书就是这类编码的证书.查看这类证书的信息的命令为：
openssl x509 -noout -text -in server.pem。
- .crt 证书文件,可以是 DER(二进制)编码的，也可以是 PEM(ASCII (Base64))编码的),在类 unix 系统中比较常见；
- .cer 也是证书，常见于 Windows 系统。编码类型同样可以是 DER 或者 PEM 的，windows 下有工具可以转换 crt 到 cer；
- .csr 证书签名请求文件，一般是生成请求以后发送给 CA，然后 CA 会给您签名并发回证书；
- .p12 证书文件,包含一个 X509 证书和一个被密码保护的私钥；
当由于某种原因(如:不想通过 CA 购买证书，或者仅是用于测试等情况)，无法正常获取 CA 签发的证书。这时可以生成一个自签名证书。使用这个自签名证书的时候，会在客户端浏览器报一个错误，签名证书授权未知或不可信(signing certificate authority is unknown and not trusted)。
自签名证书有两种类型：
自签名证书
私有 CA 签名证书
它们的区别有以下三点:
自签名的证书无法被吊销，私有 CA 签名的证书可以被吊销。
如果您的规划需要创建多个证书，那么使用私有 CA 签名的方法比较合适，因为只要给所有的客户端都安装相同的 CA 证书，那么以该 CA 证书签名过的证书，客户端都是信任的，也就只需要安装一次就够了。
如果您使用用自签名证书，您需要给所有的客户端安装该证书才会被信任。如果您需要第二个证书，则需要给所有客户端安装第二个 CA 证书才会被信任。
- 复制以上代码另存为或者其他您喜欢的文件名。
- 脚本参数
把生成的 ca 证书和去除密码的私钥文件部署到 web 服务器后，执行以下命令验证:
