使用 Gunicorn/Flask 服务超过 HTTPS：ERR_CERT_AUTHORITY_INVALID

Question

寻找一种快速的方法来为 API 服务 HTTPS 用于测试目的。 API 应用程序是使用flask创建的，并使用 gunicorn 在端口 443 上提供gunicorn 。

gunicorn --certfile=server.crt --keyfile=server.key --bind 0.0.0.0:443 wsgi:app

当我的 React 应用程序（通过 HTTPS 服务）通过 HTTPS 向其中一条路由发送POST请求时，浏览器控制台显示

POST https://1.2.3.4/foo net::ERR_CERT_AUTHORITY_INVALID

我的密钥和证书是使用创建的

openssl genrsa -aes128 -out server.key 2048
openssl rsa -in server.key -out server.key
openssl req -new -days 365 -key server.key -out server.csr
openssl x509 -in server.csr -out server.crt -req -signkey server.key -days 365

是否有解决浏览器引发的ERR_CERT_AUTHORITY_INVALID的解决方案，而不使用像 nginx/caddy 这样的反向代理？ 并且无需每个用户都必须手动信任自签名证书？

Answer 1

您的浏览器/计算机/设备需要信任 gunicorn 提供的证书...您应该在证书中添加您的 PC 的主机名（通用名称或主题备用名称）并将证书添加到您的受信任证书列表

Answer 2

我最近在 firefox 使用 open ssl 创建证书时遇到了类似的问题。我选择了使用mkcert的替代解决方案

sudo apt install libnss3-tools
sudo apt install mkcert
wget https://github.com/FiloSottile/mkcert/releases/download/v1.4.4/mkcert-v1.4.4-linux-amd64
sudo cp mkcert-v1.4.4-linux-amd64 /usr/local/bin/mkcert
sudo chmod +x /usr/local/bin/mkcert
mkcert -install
mkcert test.example.com '*.test.example.com' localhost 127.0.0.1 ::1

您需要修改/etc/hosts以包含 test.example.com

127.0.0.1       localhost test.example.com

不要忘记注销并重新登录以更新hosts中的更改

如果 firefox 仍然向settings -> privacy/security投诉 go 并打开View Certificates 。 在server选项卡下，为https://test.example.com:(port #)和 select Get Certificate添加例外。 然后Confirm Security Exception

现在使用 mkcert 生成的 pem 格式文件启动 gunicorn。 在我的情况下，它就像......

gunicorn --certfile test.example.com+4.pem --keyfile test.example.com+4-key.pem

您的证书现在应该被接受。

我们团队的每个成员都必须在本地进行设置。 对我们来说，这对回报来说是一个小小的不便。

如果这不符合您的需求，那么不幸的是，您可能不得不选择替代方案，例如 caddy 或 nginx 来反向代理您的请求。 但您仍然必须使用上述示例的某个版本或通过certbot等工具提供证书