生產中的自簽名證書

Question

我們在GlassFish上有一個Java EE項目，其中包含我們希望通過SSL保護的登錄屏幕。

使用自生成的證書而不是生產中的CA簽名的缺點是什麼？它會給最終用戶帶來警告和糟糕體驗嗎？

Answer 1

是的，瀏覽登錄站點的用戶每次都會在瀏覽器中收到證書警告。

如果應用程序只能在封閉的用戶組中使用（比如在公司內部），那麼您可以通過將自簽名證書添加到每個用戶的可信證書集（在瀏覽器中或在OS級別取決於具體情況）。

但是，如果您的應用程序通常向廣大公衆開放，那麼使用自簽名證書被認爲是不好的做法。您基本上正在教育您的用戶忽略並接受瀏覽器警告，這通常是針對中間人攻擊的最後一道防線。這顯然不是你想要的，所以在這種情況下，你應該總是使用「真正的」證書，即使它只是一個登臺/測試部署。