mkcert一键生成SSL证书+Nginx配置，轻松搭建安全的局域网HTTPS测试环境

1. 为什么需要本地HTTPS测试环境

在开发Web应用时，我们经常需要在本地或局域网环境中测试HTTPS功能。你可能遇到过这样的情况：代码在本地HTTP环境下运行良好，但部署到生产环境的HTTPS服务器后，各种问题接踵而至。这是因为现代浏览器对HTTPS和HTTP的处理方式存在显著差异，比如：

• Cookie的Secure属性
• 跨域资源共享(CORS)策略
• 混合内容警告(HTTP资源加载到HTTPS页面)
• Service Worker仅能在HTTPS环境下注册

使用公共CA签发的SSL证书虽然可行，但存在几个痛点：申请流程繁琐、需要验证域名所有权、证书有有效期限制，而且对于频繁变更的测试环境IP地址来说几乎不可行。这就是为什么我们需要一个能在本地快速生成且被系统信任的SSL证书解决方案。

2. mkcert工具简介与安装

2.1 mkcert是什么

mkcert是一个用Go语言编写的开源工具，它能一键生成本地信任的SSL证书。它的核心优势在于：

1. 零配置：不需要复杂的OpenSSL命令
2. 自动信任：生成的根证书会自动加入系统信任库
3. 跨平台：支持Windows、macOS和Linux
4. 支持多种标识符：可以同时包含域名、IP地址和localhost

2.2 安装mkcert

不同平台的安装方式略有差异：

Windows系统：

# 下载最新版mkcert curl -LO https://github.com/FiloSottile/mkcert/releases/download/v1.4.4/mkcert-v1.4.4-windows-amd64.exe # 重命名为mkcert.exe方便使用 mv mkcert-v1.4.4-windows-amd64.exe mkcert.exe # 安装到系统 mkcert.exe -install

macOS系统：

# 使用Homebrew安装 brew install mkcert # 安装CA证书 mkcert -install

Linux系统：

# 下载二进制文件 wget https://github.com/FiloSottile/mkcert/releases/download/v1.4.4/mkcert-v1.4.4-linux-amd64 # 添加执行权限 chmod +x mkcert-v1.4.4-linux-amd64 # 移动到PATH目录 sudo mv mkcert-v1.4.4-linux-amd64 /usr/local/bin/mkcert # 安装CA证书 mkcert -install

安装完成后，可以运行mkcert -help验证是否安装成功。如果看到帮助信息输出，说明安装正确。

3. 生成局域网可用的SSL证书

3.1 基本证书生成

生成一个最简单的本地测试证书：

mkcert localhost 127.0.0.1 ::1

这条命令会生成两个文件：

• localhost+2.pem：证书文件
• localhost+2-key.pem：私钥文件

数字"2"表示证书包含的域名/IP数量，这个会自动变化。

3.2 支持局域网访问

要让同一局域网内的其他设备也能访问，需要包含本机局域网IP：

# 先查看本机局域网IP # Windows: ipconfig | findstr "IPv4" # macOS/Linux: ifconfig | grep "inet " # 假设IP是192.168.1.100 mkcert localhost 127.0.0.1 ::1 192.168.1.100

3.3 自定义证书名称和位置

默认生成的证书在当前目录，我们可以指定输出路径和文件名：

mkcert -cert-file ./certs/localhost.pem \ -key-file ./certs/localhost-key.pem \ localhost 127.0.0.1 ::1 192.168.1.100

4. Nginx配置HTTPS服务

4.1 基本Nginx安装

以Ubuntu为例安装Nginx：

sudo apt update sudo apt install nginx

验证安装：

nginx -v

4.2 HTTPS服务器配置

编辑Nginx配置文件（通常位于/etc/nginx/nginx.conf或/etc/nginx/sites-available/default）：

server { listen 443 ssl; server_name localhost; ssl_certificate /path/to/localhost+3.pem; ssl_certificate_key /path/to/localhost+3-key.pem; ssl_session_cache shared:SSL:1m; ssl_session_timeout 5m; ssl_ciphers HIGH:!aNULL:!MD5; ssl_prefer_server_ciphers on; location / { root /var/www/html; index index.html index.htm; } }

4.3 配置优化建议

1. HTTP重定向到HTTPS：

server { listen 80; server_name localhost; return 301 https://$host$request_uri; }

2. 启用HSTS（严格传输安全）：

add_header Strict-Transport-Security "max-age=63072000; includeSubdomains; preload";

3. 禁用旧版TLS：

ssl_protocols TLSv1.2 TLSv1.3;

4.4 测试与重载配置

测试配置语法：

nginx -t

重载配置：

nginx -s reload

5. 局域网设备信任证书

5.1 导出根证书

在其他设备上需要安装mkcert的根证书才能避免安全警告：

# 查看CA证书位置 mkcert -CAROOT # 通常在这个目录下会找到rootCA.pem文件

5.2 Windows设备安装

1. 将rootCA.pem复制到Windows设备
2. 重命名为rootCA.crt
3. 双击安装，选择"本地计算机"存储位置
4. 在"受信任的根证书颁发机构"中完成安装

5.3 macOS设备安装

# 通过命令行安装 sudo security add-trusted-cert -d -r trustRoot -k /Library/Keychains/System.keychain rootCA.pem

5.4 移动设备安装

iOS和Android设备需要：

1. 通过邮件或网页将证书发送到设备
2. 在设备上打开并安装
3. 在设置中手动信任证书

6. 常见问题排查

6.1 证书不受信任

症状：浏览器显示"您的连接不是私密连接" 解决方法：

1. 确认已在设备上安装根证书
2. 检查证书是否过期（mkcert证书默认有效期为2年）
3. 重启浏览器或设备

6.2 Nginx无法启动

常见错误：

nginx: [emerg] SSL_CTX_use_PrivateKey_file("/path/to/key.pem") failed (SSL: error:0B080074:x509 certificate routines:X509_check_private_key:key values mismatch)

这表示证书和私钥不匹配，通常是因为错误地混用了文件。

6.3 局域网设备无法访问

检查步骤：

1. 确认Nginx监听了正确的IP地址
2. 检查防火墙设置（可能需要开放443端口）
3. 确保证书包含了设备的访问地址（IP或域名）

7. 高级用法与技巧

7.1 通配符证书

mkcert支持生成通配符证书：

mkcert "*.example.test" example.test

7.2 自定义有效期

默认证书有效期为2年，可以调整：

mkcert -ecdsa -cert-file ./cert.pem -key-file ./key.pem -days 365 localhost

7.3 与Docker集成

在Docker容器中使用mkcert证书：

COPY --from=builder /app/certs /etc/nginx/certs

7.4 自动化脚本示例

创建一键生成和部署脚本setup-https.sh：

#!/bin/bash # 生成证书 mkcert -cert-file ./certs/localhost.pem \ -key-file ./certs/localhost-key.pem \ localhost 127.0.0.1 ::1 $(hostname -I | awk '{print $1}') # 复制证书到Nginx目录 sudo cp ./certs/localhost.pem /etc/nginx/ssl/ sudo cp ./certs/localhost-key.pem /etc/nginx/ssl/ # 重启Nginx sudo systemctl restart nginx

8. 安全注意事项

虽然mkcert极大简化了本地开发流程，但需要注意：

1. 不要在生产环境使用：mkcert证书仅适用于开发和测试
2. 保护私钥：生成的私钥文件应妥善保管
3. 定期轮换证书：虽然有效期较长，但建议定期更新
4. 团队协作时：共享根证书而非私钥，或让每个成员自行安装mkcert

在实际项目中，我遇到过因为忘记在测试手机上安装根证书，导致测试进度受阻的情况。后来我们建立了标准的开发环境检查清单，其中就包含证书信任状态的验证。