如何取消阻止自签名 SSL 证书？答案

【问题标题】：how do I unblock self-signed SSL certificates?如何取消阻止自签名 SSL 证书？
【发布时间】：2019-09-18 15:09:52
【问题描述】：

问题：由于“无法联系服务器”，用户无法登录移动应用

调试消息：“TypeError：网络请求失败”

尝试修复：重新启动服务器，验证 db 正在运行并且没有任何改变，重新启动服务器正在运行的 VM，我使用邮递员检查了 api。当我运行一个简单的 POST 请求时，我收到以下消息：

连接到时出错 https://app.something.com/api/Accounts/5076/sometest?filter%5Bwhere%5D%xxxxx%5D=null&access_token=mwVfUBNxxxxxxx5x4A4Y5DktKnTZXeL6CB34MoP.

我得到的建议之一是：

自签名 SSL 证书被阻止：通过转动来解决此问题在“设置”>“常规”中关闭“SSL 证书验证”

执行此步骤后，我就可以发出 POST 请求，并且一切似乎都正常。我对这种类型的错误完全陌生。 Allso，我没有设置这个 app/db/certificates。因此，除了取消阻止自签名 SSL 证书（这似乎是一个非常糟糕的主意）之外，我不确定如何继续。我有哪些选择？

这是检查证书的结果：

depth=1 C = US, O = Let's Encrypt, CN = Let's Encrypt Authority X3
verify error:num=20:unable to get local issuer certificate
verify return:0 poll
errornotBefore=Jan 28 11:54:38 2019 GMT
notAfter=Apr 28 11:54:38 2019 GMT

【问题讨论】：

标签： ssl networking server ssl-certificate

【解决方案1】：

如果您打算将其公开给公众，请从 CA 获得 purchase a signed certificate。

或者免费选项是使用Let's Encrypt，使用此服务，您可以颁发免费证书，但它们会在相对较短的时间内到期；但大多数情况下，您可以运行一个代理，它会在证书过期之前自动轮换证书。

第三个选项是 install the CA certificate 用于自我签名，进入您的浏览器。即，就像一家大公司可能会做的那样。

编辑

似乎它可能是一个过期的证书？检查它何时到期：

openssl s_client -showcerts -servername www.stackoverflow.com -connect www.stackoverflow.com:443 </dev/null | openssl x509 -noout -dates

将 stackoverflow 的两个实例更改为您的域

【讨论】：

根据我收到的接管文件“服务器当前托管在 Microsoft Azure 上，使用 Cafe24 作为其 DNS 主机，使用 Gabia 作为其域名注册器。该应用程序使用 HTTPS 与服务器通信，并使使用免费的 Lets Encrypt 证书。正在使用 Certbot ACME 客户端并配置为自动更新证书，因此无需任何手动输入，除非您想添加一个额外的域供 Let's Encrypt 处理。"
大声笑，让我们加密是选项 3，我可以将其添加到我的答案中。 :et's encrypt 提供免费证书，但到期时间相对较短。负责轮换证书的代理可能失败了，而不是自签名，证书只是过了过期日期。
如果您在任何地方安装了 OpenSSL，请使用此命令检查您现有的证书：openssl s_client -showcerts -servername www.stackoverflow.com -connect www.stackoverflow.com:443 </dev/null | openssl x509 -noout -dates
我更新了原帖。我猜“没有发送客户端证书 CA 名称”这行不是一件好事。
你能仔细检查你运行的命令吗？这似乎不正确......我也更新了我的评论。确保您更改我的请求中的参数以匹配您的域。请记下您清除了哪些字段以防晦涩。