https - 生产中的自签名证书

Question

我们在GlassFish上有一个Java EE项目，其中包含一个我们要通过SSL保护的登录屏幕。

在生产中使用自行生成的证书而不是从CA签名的证书有什么缺点？会给最终用户警告和不好的体验吗？

Answer 1

是的，浏览登录站点的用户每次都会在其浏览器中收到证书警告。

如果仅在封闭的用户组(例如公司内部)中使用该应用程序，则可以通过将自签名证书添加到每个用户的受信任证书集中(在浏览器或操作系统级别，取决于具体情况)。

但是，如果您的应用程序通常向广大公众开放，那么使用自签名证书被认为是不好的做法。您基本上是在教育您的用户忽略并接受浏览器警告，这通常是防范中间人攻击的最后一道防线。显然这不是您想要的，因此在这种情况下，即使仅是分阶段/测试部署，也应始终使用“真实”证书。