问题：mkcert生成的IP证书为何不受信任？

Question

**问题：mkcert生成的IP证书为何不受信任？** 使用 mkcert 生成的 IP 证书在浏览器或系统中可能不受信任，主要原因在于证书未被系统或浏览器的信任库自动识别。mkcert 生成的根证书需要手动安装并设置为受信任的根证书颁发机构（CA），否则由其签发的证书将被视为不受信任。此外，若证书中使用的 IP 地址未正确配置在证书的 SAN（Subject Alternative Name）字段中，也会导致验证失败。解决方法包括：正确安装 mkcert 的根证书，并确保生成证书时包含正确的 IP 地址或域名。

Answer 1

1. 问题背景

在本地开发或测试环境中，开发者常使用 mkcert 工具快速生成本地信任的 SSL/TLS 证书，以支持 HTTPS 服务。然而，当使用 mkcert 生成基于 IP 地址的证书时，常常会遇到“证书不受信任”的问题。

这种现象的背后，涉及多个层面的证书信任机制与配置问题。

2. 信任机制基础

SSL/TLS 证书的信任依赖于证书链（Certificate Chain）中的根证书（Root CA）是否存在于操作系统的信任库中。

• 根证书（Root CA）：由可信机构签发，位于证书链的顶端。
• 中间证书（Intermediate CA）：由根证书签发，用于签发最终实体证书。
• 终端实体证书（End-Entity Certificate）：即服务器证书，用于保护特定域名或 IP 地址。

浏览器或操作系统会验证证书链是否可追溯到一个受信任的根证书。

3. mkcert 的工作原理简析

mkcert 是一个本地信任的 CA 工具，它会在本地生成一个自签名的根证书，并使用该根证书为指定的域名或 IP 地址签发服务器证书。

流程如下：

graph TD
            A[用户运行 mkcert -install] --> B[生成本地根证书]
            B --> C[安装根证书到系统信任库]
            A --> D[用户生成证书]
            D --> E[使用本地根证书签发证书]
            E --> F[证书可用于本地 HTTPS 服务]

但若未正确安装根证书或未正确配置 SAN 字段，证书将无法通过验证。

4. 证书不受信任的常见原因

原因	说明	解决方法
未安装 mkcert 根证书	证书链无法追溯到可信根证书	执行 mkcert -install 安装根证书
证书未包含正确的 SAN	证书未包含目标 IP 或域名，导致验证失败	生成证书时使用 mkcert 192.168.1.100 等命令
浏览器未使用系统信任库	如 Firefox 自带信任库，需手动导入根证书	在浏览器设置中手动添加根证书
证书过期或时间错误	证书有效期不在当前系统时间范围内	重新生成证书，或检查系统时间

5. 验证证书 SAN 字段的方法

生成证书后，应验证证书是否包含所需的 SAN 字段。可以使用 openssl 命令查看证书内容：

openssl x509 -in cert.pem -text -noout

在输出中查找 Subject Alternative Name 段落，确认是否包含目标 IP 或域名。

若未包含，则需重新生成证书并指定正确的地址：

mkcert 192.168.1.100 example.com localhost

6. 系统与浏览器信任机制差异

不同操作系统和浏览器对证书的信任机制存在差异：

• macOS / Linux / Windows：系统级证书信任库由操作系统维护，mkcert -install 可自动安装。
• Firefox：使用独立的信任库，需手动导入 mkcert 根证书。
• Android / iOS / Docker 容器等：默认不信任主机证书，需单独安装信任证书。

因此，在多平台测试环境中，应分别验证各平台的信任状态。