自签名HTTPS证书是怎么回事
你可能在配置本地开发环境、搭建家庭NAS或者调试网页时，看到浏览器弹出一个红色警告页面，提示“您的连接不是私密连接”。点开详情，发现是因为用了“自签名证书”。这时候你可能会问：这玩意儿到底安不安全？
简单说，自签名HTTPS证书就是你自己给自己发的“身份证”，而不是由正规机构（比如Let's Encrypt、DigiCert这些）签发的。它确实能加密传输内容，但缺少第三方验证环节。
能加密，不代表完全可信
举个生活中的例子：你在小区门口开了家小超市，自己写了个“本店无假货”的牌子贴墙上。这牌子能防偷吗？不能。能让人放心买东西吗？老邻居可能信你，但第一次来的顾客肯定犯嘀咕。自签名证书就像这个自制招牌——数据确实是加密传输的，黑客很难窃听，但浏览器没法确认这个网站真是你本人建的，还是有人冒充你搞钓鱼。
比如你在公司内网部署一个管理后台，用自签名证书，员工第一次访问会看到警告。只要大家知道这是正常现象，并且通过其他方式确认了网址没错，那风险可控。可要是把这个证书用在对外的电商网站上，用户看到警告直接就关掉了，信任感瞬间归零。
常见使用场景
开发者本地调试是最常见的用途。比如你在localhost跑一个Vue项目，想测试HTTPS下的功能（比如地理位置API），就得配个证书。这时候没必要花钱买正式证书，自签一个最方便。
另一个场景是企业内网系统。财务系统、内部打卡平台这类只供员工使用的服务，IT部门可以统一部署自签名证书，提前装进所有人电脑的信任列表里。这样既省成本，又能保证内部通信加密。
怎么生成一个自签名证书
用OpenSSL一条命令就能搞定：
openssl req -x509 -newkey rsa:4096 -keyout key.pem -out cert.pem -sha256 -days 365 -nodes执行后会生成两个文件：cert.pem是证书，key.pem是私钥。把它配到Nginx或Node.js服务里就行。但记住，这个证书在别人电脑上打开，默认都会报警告。
和正规证书差在哪
正规CA签发的证书有个关键优势：预置信任链。主流操作系统和浏览器都内置了受信任的根证书列表，只要你的证书是这些机构发的，打开就绿标安心。而自签名的不在名单里，自然会被拦下。
而且正规证书还提供额外保障，比如域名所有权验证、企业信息核验，甚至出了问题能追责索赔。自签的啥都没有，纯靠自己背书。
要不要用？看场合
如果你是个人开发者折腾项目，或者搭建家庭服务器给亲人用，自签名完全没问题。只要提醒他们首次访问时手动点击“高级-继续前往”就行。现在很多工具比如mkcert，还能让你本地生成一个被系统自动信任的开发证书，体验更好。
但一旦涉及公众访问、商业服务、用户登录注册的场景，别图省事，老老实实用免费的Let's Encrypt或者购买商业证书。安全这东西，省不了小钱赚大便宜。