OpenSSL 在 Windows 环境下的安装与常见用法详解
引言：OpenSSL 的重要性与 Windows 平台的挑战
在当今高度依赖网络通信和数据安全的时代，密码学工具的角色至关重要。OpenSSL 作为一款强大、开源的密码学工具包，提供了丰富的函数库和命令行工具，用于实现 SSL（Secure Sockets Layer）和 TLS（Transport Layer Security）协议，以及各种加密、解密、签名、验证、证书管理等功能。无论是搭建安全的 Web 服务器（如 Apache、Nginx）、配置 VPN、保护电子邮件通信，还是进行数字签名和证书颁发，OpenSSL 都是不可或缺的基石。
尽管 OpenSSL 在 Linux/Unix 环境下通常是系统自带或易于通过包管理器安装的标准工具，但在 Windows 平台上，情况则略有不同。Windows 操作系统本身不预装 OpenSSL，且 OpenSSL 的原生构建过程主要针对 POSIX 系统。这意味着要在 Windows 上使用 OpenSSL，用户需要获取一个适用于 Windows 的构建版本，这通常是通过预编译的二进制文件或者自行进行复杂的编译过程来实现。
本文旨在为 Windows 用户提供一个全面、详细的指南，涵盖 OpenSSL 在 Windows 环境下的安装过程（重点介绍最常见的预编译版本安装）以及各种日常任务中OpenSSL的常见命令行用法，帮助读者克服平台差异，充分利用 OpenSSL 的强大功能。我们将深入探讨如何生成密钥、创建证书签名请求（CSR）、处理证书、创建自签名证书、管理 PKCS#12（.pfx/.p12）文件，并介绍一些其他实用的命令。
第一部分：在 Windows 环境下安装 OpenSSL
在 Windows 上安装 OpenSSL，最便捷的方式是使用社区提供的预编译二进制文件。自行从源代码编译 OpenSSL 是一个复杂的过程，需要安装 Perl、C/C++ 编译器（如 Visual Studio 或 MinGW），配置构建环境，并执行一系列命令行操作。对于大多数用户而言，使用预编译版本足以满足日常需求。
1. 获取预编译的 OpenSSL 二进制文件
有几个可靠的来源提供 Windows 版本的 OpenSSL 预编译二进制文件。其中一个广受推荐且更新较快的来源是 Shining Light Productions 提供的版本。
步骤 1.1：访问下载源
打开浏览器，访问一个提供 OpenSSL Windows 二进制文件的网站。例如，可以搜索 “OpenSSL Windows binary Shining Light” 或直接访问其网站（请注意，网站地址可能随时间变化，请搜索最新信息）。
步骤 1.2：选择合适的版本
通常，你会看到不同版本号（如 1.1.1, 3.0.x, 3.1.x 等）和不同架构（32位或 64位）的下载选项。
* 版本号： 选择一个较新且稳定的版本。通常，最新版本包含最新的功能和安全修复，但某些旧系统或应用可能需要特定旧版本。对于新项目，建议选择最新的 LTS（Long Term Support）版本或当前稳定版本。
* 架构： 选择与你的 Windows 操作系统和目标应用架构相匹配的版本。大多数现代 Windows 系统是 64 位的，所以选择 Win64 通常是正确的。如果你不确定或需要兼容 32 位应用，可以选择 Win32。
* 类型： 通常提供安装程序（.exe）和 ZIP 包。安装程序更方便，会自动处理文件复制和一些配置；ZIP 包则更灵活，可以解压到任何位置，无需管理员权限安装（但可能需要手动设置环境变量）。对于初学者，推荐使用安装程序。
步骤 1.3：下载文件
点击对应版本的链接下载安装程序（例如 OpenSSL-Win64-version.exe）或 ZIP 文件。
2. 安装 OpenSSL（使用安装程序）
使用安装程序是最简单的安装方式。
步骤 2.1：运行安装程序
找到下载的 .exe 文件，双击运行。你可能需要管理员权限来运行安装程序。
步骤 2.2：接受许可协议
阅读并接受许可协议。
步骤 2.3：选择安装目录
选择 OpenSSL 的安装路径。默认路径通常在 C:\Program Files\OpenSSL-Win64 或类似的目录下。你可以选择其他位置，但请记住这个位置。建议安装在默认或一个不含空格的简单路径下，以避免潜在的问题。
步骤 2.4：选择安装组件
在组件选择界面，通常默认选项就足够了。你不需要源代码，只需选择“Binaries”和“Dependencies”等核心组件。
步骤 2.5：选择复制 OpenSSL DLLs 的位置
这是安装过程中一个关键步骤。安装程序会询问是否将 OpenSSL 的动态链接库（DLLs）复制到 Windows 系统目录或 OpenSSL 安装目录本身。
* “The OpenSSL binaries (openssl.exe) directory” (推荐): 将 DLL 文件放在 OpenSSL 安装目录的 bin 子目录中。这是推荐的做法，因为它使得 OpenSSL 的安装更加独立和整洁，不会污染系统目录。但这意味着你需要确保 OpenSSL 的 bin 目录被添加到系统的 PATH 环境变量中，或者在使用 OpenSSL 命令时始终切换到该目录。
* “The Windows system directory (e.g. C:\Windows\System32)”: 将 DLL 文件复制到系统目录。这使得系统中的其他程序更容易找到 OpenSSL 的库，但可能导致不同版本库的冲突，且不够整洁。
选择“The OpenSSL binaries directory”。
步骤 2.6：完成安装
点击“Install”开始安装过程。等待安装完成，然后点击“Finish”。
3. 安装 OpenSSL（使用 ZIP 包）
如果你下载的是 ZIP 包，安装过程更简单，无需运行安装程序，但需要手动设置环境变量。
步骤 3.1：解压 ZIP 文件
将下载的 ZIP 文件解压到你想要安装 OpenSSL 的目录。例如，你可以解压到 C:\OpenSSL-Win64。确保解压后的文件夹结构包含 bin、include、lib 等子目录。
步骤 3.2：设置环境变量 (必需)
因为没有运行安装程序，OpenSSL 的可执行文件 (openssl.exe) 不在系统的默认搜索路径中。你需要手动将其所在的目录添加到系统的 PATH 环境变量中，才能在任何命令提示符窗口中直接运行 openssl 命令。
- 右键点击“此电脑”（或“我的电脑”），选择“属性”。
- 点击“高级系统设置”。
- 在“系统属性”窗口中，切换到“高级”选项卡，点击右下角的“环境变量”按钮。
- 在“系统变量”列表中找到名为
Path的变量，选中它，然后点击“编辑”。 - 在“编辑环境变量”窗口中，点击“新建”按钮，然后输入 OpenSSL 可执行文件所在的路径。如果你解压到
C:\OpenSSL-Win64，并且解压后 OpenSSL 在C:\OpenSSL-Win64\bin目录下，那么你应该输入C:\OpenSSL-Win64\bin。 - 点击“确定”关闭所有窗口，保存更改。
重要： 如果你在设置环境变量之前已经打开了命令提示符窗口，你需要关闭并重新打开它，新的环境变量设置才会生效。
4. 验证安装
无论是通过安装程序还是 ZIP 包安装，安装完成后都应该验证 OpenSSL 是否可以正常运行。
步骤 4.1：打开命令提示符或 PowerShell
按下 Win + R，输入 cmd 或 powershell，然后按 Enter 打开命令提示符或 PowerShell 窗口。
步骤 4.2：运行 openssl version 命令
在命令窗口中输入以下命令，然后按 Enter：
bash
openssl version
如果安装成功且环境变量设置正确，你应该能看到类似以下的输出（版本号可能不同）：
OpenSSL 3.0.8 14 Feb 2023 (Library: OpenSSL 3.0.8 14 Feb 2023)
如果看到“’openssl’ 不是内部或外部命令，也不是可运行的程序或批处理文件。”这样的错误提示，说明 OpenSSL 的可执行文件路径没有正确添加到系统的 PATH 环境变量中，或者你没有重新打开命令窗口。请仔细检查步骤 3.2。
至此，OpenSSL 在你的 Windows 环境下就已经安装完成了。
第二部分：OpenSSL 的常见命令行用法
OpenSSL 的命令行工具非常强大，可以完成各种密码学任务。其基本语法通常是 openssl [command] [options] [arguments]。下面我们将介绍一些最常用的命令和用法。
重要提示： 在命令行中执行 OpenSSL 操作时，建议在一个单独的目录中进行，以便管理生成的文件（密钥、证书、CSR等）。
1. 生成私钥 (Generating Private Keys)
私钥是构建安全通信的基础，它用于加密只有自己能解密的数据，或用于数字签名以证明身份。RSA 是最常用的非对称加密算法之一，OpenSSL 支持生成 RSA 私钥。
命令： genrsa
用途： 生成 RSA 私钥。
常见参数：
* -out <文件名>: 指定输出私钥的文件名。
* <位数>: 指定 RSA 密钥的长度，单位为比特。常见的长度有 2048（目前仍然广泛使用，但安全性逐渐受挑战）、3072 和 4096（推荐，安全性更高）。长度越长，计算量越大。
* -aes128, -aes192, -aes256, -des3: 使用指定的对称加密算法对私钥文件进行加密，需要设置一个密码（passphrase）。加密的私钥更安全，即使文件泄露，没有密码也无法使用。
示例 1：生成一个未加密的 4096 位 RSA 私钥
bash
openssl genrsa -out my_private_key.pem 4096
执行命令后，会在当前目录下生成一个名为 my_private_key.pem 的文件。这是一个未加密的私钥文件。出于安全考虑，建议对私钥进行加密。
示例 2：生成一个使用 AES-256 加密的 4096 位 RSA 私钥
bash
openssl genrsa -aes256 -out my_encrypted_private_key.pem 4096
执行命令后，OpenSSL 会提示你输入一个密码（passphrase）：
Enter PEM pass phrase:
Verifying - Enter PEM pass phrase:
你需要输入两次相同的密码。这个密码将用于加密私钥文件。以后每次使用这个私钥时，都需要输入这个密码。
关于私钥文件格式：
OpenSSL 生成的私钥文件通常是 PEM 格式，这是一种 Base64 编码的文本格式，以 -----BEGIN RSA PRIVATE KEY----- 或 -----BEGIN ENCRYPTED PRIVATE KEY----- 开始，以 -----END RSA PRIVATE KEY----- 或 -----END ENCRYPTED PRIVATE KEY----- 结束。
命令： rsa
用途： 处理 RSA 密钥文件，如查看内容、格式转换、加密/解密私钥。
常见参数：
* -in <文件名>: 指定输入的私钥文件。
* -out <文件名>: 指定输出的私钥文件。
* -pubout: 只输出公钥部分。
* -text: 以文本形式显示密钥的详细信息。
* -noout: 不输出密钥文件本身，只用于配合 -text 查看信息。
* -des, -des3, -aes128, -aes192, -aes256: 将私钥重新加密为指定的格式。
* -nodes: 将加密的私钥解密为未加密格式（No DES/encryption）。
示例 3：从加密的私钥中提取未加密的私钥
假设你有一个加密的私钥文件 my_encrypted_private_key.pem，现在想得到一个未加密的版本（例如，用于某些自动化脚本或服务，但请注意安全风险！）：
bash
openssl rsa -in my_encrypted_private_key.pem -out my_private_key_unencrypted.pem -nodes
执行命令后，OpenSSL 会要求你输入加密私钥的密码：
Enter pass phrase for my_encrypted_private_key.pem:
writing RSA key
输入正确的密码后，将生成一个未加密的私钥文件 my_private_key_unencrypted.pem。
示例 4：从私钥中提取公钥
bash
openssl rsa -in my_private_key.pem -pubout -out my_public_key.pem
这会从私钥文件中提取对应的公钥，并保存到 my_public_key.pem 文件中。公钥文件通常以 -----BEGIN PUBLIC KEY----- 开头。公钥可以公开给任何人用于加密数据或验证签名。
示例 5：查看私钥的详细信息
bash
openssl rsa -in my_private_key.pem -text -noout
这会在控制台输出私钥的各种参数信息，如质数 (prime factors)、指数 (exponents) 等，但不会输出私钥文件本身。
2. 生成证书签名请求 (Generating Certificate Signing Requests – CSR)
证书签名请求 (CSR) 是在申请数字证书时，向证书颁发机构 (CA) 提交的文件。它包含了你的公钥和一些身份信息（如域名、组织名称等），并用对应的私钥进行了签名。CA 会验证这些信息，并用其自己的私钥对你的公钥和身份信息进行签名，生成数字证书。
命令： req
用途： 生成 CSR 或自签名证书。
常见参数：
* -new: 创建一个新的 CSR。
* -key <私钥文件>: 指定用于生成 CSR 的私钥文件。
* -out <文件名>: 指定输出的 CSR 文件名。
* -subj <主题字符串>: 非交互式地指定证书的主题信息 (Subject)。主题信息通常包括 CN (Common Name), OU (Organizational Unit), O (Organization), L (Locality), S (State/Province), C (Country)。格式为 /C=.../ST=.../L=.../O=.../OU=.../CN=...。
* -config <配置文件>: 指定 OpenSSL 的配置文件，可以预设一些默认值或扩展信息。
* -text: 以文本形式显示 CSR 的详细信息。
* -noout: 不输出 CSR 文件本身，只用于配合 -text 查看信息。
示例 6：使用现有私钥生成 CSR（交互式）
首先，确保你已经生成了一个私钥，例如 my_private_key.pem。
bash
openssl req -new -key my_private_key.pem -out my_csr.pem
执行命令后，OpenSSL 会引导你逐步输入证书主题信息：
“`
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter ‘.’, the field will be left blank.
Country Name (2 letter code) [AU]:CN
State or Province Name (full name) [Some-State]:Guangdong
Locality Name (eg, city) []:Shenzhen
Organization Name (eg, company) [Internet Widgits Pty Ltd]:My Company
Organizational Unit Name (eg, section) []:IT Department
Common Name (e.g. server FQDN or YOUR name) []:www.example.com
Email Address []:[email protected]
Please enter the following ‘extra’ attributes to be sent on the certificate request
A challenge password []:
An optional company name []:
``www.example.com
* **Country Name (C):** 国家代码，两字母，如 CN, US。
* **State or Province Name (ST):** 省/州名。
* **Locality Name (L):** 城市名。
* **Organization Name (O):** 组织或公司名称。
* **Organizational Unit Name (OU):** 组织单元，如部门。
* **Common Name (CN):** 这是最重要的字段！对于 SSL/TLS 证书，这里通常输入你的服务器的完全限定域名 (FQDN)，例如或.example.com` (通配符证书)。对于代码签名或个人证书，这里可能是组织名称或个人姓名。请务必填写正确。
* Email Address: 可选，联系邮箱。
* A challenge password: 可选，证书申请的挑战密码，CA 不常用。
* An optional company name:* 可选，CA 不常用。
填写完毕后，会生成 my_csr.pem 文件。
示例 7：使用现有私钥生成 CSR（非交互式）
如果你想自动化这个过程，可以使用 -subj 参数：
bash
openssl req -new -key my_private_key.pem -out my_csr_auto.pem -subj "/C=CN/ST=Guangdong/L=Shenzhen/O=My Company/OU=IT/CN=www.example.com/[email protected]"
示例 8：查看 CSR 的详细信息
bash
openssl req -in my_csr.pem -text -noout
这会显示 CSR 的内容，包括主题信息、公钥信息和签名信息，供你核对。
将生成的 my_csr.pem 文件提交给证书颁发机构（CA）即可申请正式的数字证书。
3. 处理证书 (Working with Certificates)
收到 CA 颁发的证书文件后，你可以使用 OpenSSL 来查看其内容、转换格式等。证书文件通常是 .cer, .crt, .pem 等后缀。
命令： x509
用途： 处理 X.509 格式的证书文件。
常见参数：
* -in <文件名>: 指定输入的证书文件。
* -out <文件名>: 指定输出的证书文件。
* -text: 以文本形式显示证书的详细信息。
* -noout: 不输出证书文件本身，只用于配合 -text 查看信息。
* -inform <格式>, -outform <格式>: 指定输入和输出文件的格式，可以是 PEM (默认)、DER (二进制) 或 PFX (PKCS#12)。
* -pubkey: 提取证书中的公钥。
* -subject: 提取证书的主题信息。
* -issuer: 提取证书的颁发者信息。
* -fingerprint: 计算证书的指纹 (hash)。
* -checkend <秒数>: 检查证书是否在指定的秒数内过期。
* -days: 查看证书的有效期（剩余天数）。
示例 9：查看证书的详细信息
假设你收到了 CA 颁发的证书文件 my_certificate.cer。
bash
openssl x509 -in my_certificate.cer -text -noout
这会输出证书的所有详细信息，包括版本、序列号、签名算法、颁发者、有效期、主题（你的信息）、公钥以及扩展信息等。
示例 10：查看证书的主题和颁发者信息
bash
openssl x509 -in my_certificate.cer -subject -noout
openssl x509 -in my_certificate.cer -issuer -noout
示例 11：将 DER 格式的证书转换为 PEM 格式
有些 CA 可能会提供 DER 格式（二进制）的证书文件，你可能需要将其转换为 PEM 格式（文本）以方便查看或用于某些应用。
bash
openssl x509 -in my_certificate.cer -inform DER -out my_certificate.pem -outform PEM
示例 12：提取证书中的公钥
bash
openssl x509 -in my_certificate.cer -pubkey -noout > my_certificate_public_key.pem
这会将证书中包含的公钥提取出来，并保存到 my_certificate_public_key.pem 文件中。
4. 创建自签名证书 (Creating Self-Signed Certificates)
自签名证书是由私钥的所有者自己签署的证书，而不是由可信的第三方 CA 签署。它们通常用于测试环境、内部应用或不需要公开信任的场景。自签名证书的信任链止于自身，浏览器或客户端通常会对其发出安全警告。
命令： req (结合 -x509 参数)
用途： 生成自签名证书。
常见参数：
* -new: 创建一个新的证书（CSR 或自签名）。
* -x509: 指定输出自签名证书，而不是 CSR。
* -key <私钥文件>: 指定用于生成证书的私钥文件。
* -out <文件名>: 指定输出的自签名证书文件。
* -days <天数>: 指定证书的有效期，单位是天。
* -nodes: 生成未加密的私钥（如果同时生成私钥）。
* -subj <主题字符串>: 非交互式指定证书主题。
示例 13：生成私钥并同时创建有效期为 365 天的自签名证书（交互式）
bash
openssl req -new -x509 -days 365 -nodes -keyout my_selfsigned.key -out my_selfsigned.crt
执行命令后：
1. 由于使用了 -nodes，会直接生成一个未加密的私钥 my_selfsigned.key，不会提示输入密码。
2. 由于使用了 -new 和 -x509，会提示你输入自签名证书的主题信息，过程与生成 CSR 类似（见示例 6）。
填写完主题信息后，会生成私钥文件 my_selfsigned.key 和自签名证书文件 my_selfsigned.crt。
示例 14：使用现有私钥创建有效期为 730 天（2年）的自签名证书（非交互式）
假设你已经有了一个私钥 my_private_key.pem。
bash
openssl req -new -x509 -days 730 -key my_private_key.pem -out my_selfsigned_existing_key.crt -subj "/C=CN/ST=Guangdong/L=Shenzhen/O=My Company/OU=IT/CN=localhost"
这会使用 my_private_key.pem 生成一个有效期为 730 天的自签名证书 my_selfsigned_existing_key.crt，主题 CN 设置为 localhost（常用于本地测试）。
5. 处理 PKCS#12 (.pfx/.p12) 文件
PKCS#12 文件（通常使用 .pfx 或 .p12 后缀）是一种归档文件格式，可以将私钥、对应的证书以及CA链证书打包到一个文件中，通常会用一个密码保护。它常用于在不同服务器或设备之间迁移证书和私钥。
命令： pkcs12
用途： 创建或解析 PKCS#12 文件。
常见参数：
* -export: 将证书、私钥等导出为 PKCS#12 文件。
* -in <证书文件>: 指定要打包的证书文件。
* -inkey <私钥文件>: 指定要打包的私钥文件。
* -certfile <CA链证书文件>: （可选）指定包含中间 CA 证书和根 CA 证书的文件，将它们也打包进去。
* -out <文件名>: 指定输出的 PKCS#12 文件名。
* -name "<友好名称>": （可选）为证书和密钥指定一个别名，在导入时会显示。
* -password pass:<密码>: 在命令行中直接指定导入/导出密码（不安全，不推荐用于敏感操作）。
* -passin <参数>, -passout <参数>: 指定获取输入/输出密码的方式 (例如 pass:密码，file:文件路径，env:环境变量名，stdin – 从标准输入读取)。通常不带 -passin/-passout 参数，OpenSSL 会交互式提示输入密码。
* -info: 显示 PKCS#12 文件中的信息。
* -nocerts: 解析时，不输出证书。
* -nokeys: 解析时，不输出私钥。
示例 15：将私钥和证书打包到 PFX 文件
假设你有私钥 my_private_key.pem 和对应的证书 my_certificate.cer。
bash
openssl pkcs12 -export -in my_certificate.cer -inkey my_private_key.pem -out my_package.pfx -name "My Certificate"
执行命令后，OpenSSL 会提示你设置导出密码（用于保护 .pfx 文件）：
Enter Export Password:
Verifying - Enter Export Password:
设置并确认密码后，将生成 my_package.pfx 文件。
示例 16：将私钥、证书和 CA 链证书打包到 PFX 文件
如果你的证书需要一个或多个中间 CA 证书才能被信任，通常需要将它们与你的证书一起打包进 PFX 文件。将你的证书文件（如 my_certificate.cer）和 CA 链证书文件（假设名为 ca_chain.cer，包含所有中间 CA 和根 CA）准备好。
bash
openssl pkcs12 -export -in my_certificate.cer -inkey my_private_key.pem -certfile ca_chain.cer -out my_package_with_chain.pfx -name "My Certificate with Chain"
同样会提示设置导出密码。
示例 17：从 PFX 文件中提取私钥和证书
假设你有一个 PFX 文件 my_package.pfx，你想提取其中的私钥和证书。
bash
openssl pkcs12 -in my_package.pfx -out extracted_items.pem -nodes
执行命令后，OpenSSL 会提示你输入 PFX 文件的导入密码：
Enter Import Password:
MAC verified OK
输入正确的密码后，OpenSSL 会将 PFX 文件中的私钥和证书（以及可能的 CA 链证书）提取出来，并合并到一个 PEM 格式的文件 extracted_items.pem 中。-nodes 参数表示如果私钥是加密的，提取时将其解密。如果不需要解密，可以去掉 -nodes。
生成的 extracted_items.pem 文件会包含多个 PEM 块（-----BEGIN...----- 到 -----END...-----），你可以手动将其分割成单独的私钥文件和证书文件。
示例 18：仅从 PFX 文件中提取证书
bash
openssl pkcs12 -in my_package.pfx -out extracted_certificate.pem -nokeys
示例 19：仅从 PFX 文件中提取私钥
bash
openssl pkcs12 -in my_package.pfx -out extracted_private_key.pem -nocerts -nodes
示例 20：查看 PFX 文件中的信息
bash
openssl pkcs12 -in my_package.pfx -info -noout
这会列出 PFX 文件中包含的项目（证书、密钥等）及其友好名称。
6. 校验证书信任链 (Verifying Certificate Chains)
验证证书是否由可信的 CA 签发，并且其整个信任链（从最终实体证书到根证书）都是有效的。
命令： verify
用途： 验证证书的有效性。
常见参数：
* -CAfile <CA证书文件>: 指定包含一个或多个 CA 证书的文件（通常是 PEM 格式，包含中间 CA 和根 CA）。
* -untrusted <中间证书文件>: 指定包含不受信任的（即需要验证的）中间 CA 证书的文件。
* <待验证证书文件>: 指定要验证的最终实体证书文件。
示例 21：验证证书是否由某个 CA 证书签发
假设你有最终用户证书 my_certificate.cer 和 CA 证书文件 ca_root.cer。
bash
openssl verify -CAfile ca_root.cer my_certificate.cer
如果验证成功，会输出：
my_certificate.cer: OK
如果验证失败，会输出错误信息，说明原因（如证书过期、签名不匹配、CA 不在信任列表中等）。
示例 22：验证包含中间 CA 的证书链
如果你的证书链包含中间 CA，你需要将根 CA 和所有中间 CA 证书放在一个文件里（或使用 -CApath 指定一个包含这些证书的目录），或者分别使用 -CAfile 和 -untrusted。将根 CA 和所有中间 CA 合并到一个文件 ca_chain.pem 是一个常见做法。
bash
openssl verify -CAfile ca_chain.pem my_certificate.cer
或者分别指定：
bash
openssl verify -CAfile ca_root.cer -untrusted ca_intermediate.cer my_certificate.cer
（注意：-untrusted 参数通常用于指定需要客户端主动提供的中间证书，而不是根证书）。
7. 其他常用命令简介
OpenSSL 功能极其丰富，这里仅简要介绍几个其他常见或有用的命令：
dgst: 计算文件的哈希值或进行数字签名/验证。openssl dgst -sha256 file.txt: 计算file.txt的 SHA-256 哈希值。openssl dgst -sha256 -sign my_private_key.pem -out signature.bin file.txt: 使用私钥对文件进行签名。openssl dgst -sha256 -verify my_public_key.pem -signature signature.bin file.txt: 使用公钥验证签名。
enc: 对文件进行对称加密或解密。openssl enc -aes256 -salt -in plaintext.txt -out ciphertext.enc: 使用 AES-256 加密文件。会提示输入密码。openssl enc -aes256 -d -in ciphertext.enc -out decrypted.txt: 使用 AES-256 解密文件。会提示输入密码。
s_client: 模拟 SSL/TLS 客户端连接到远程服务器，用于调试 SSL/TLS 连接问题，查看服务器证书信息、支持的协议和加密套件。openssl s_client -connect www.example.com:443: 连接到www.example.com的 443 端口，显示连接信息、证书链等。openssl s_client -connect www.example.com:443 -servername www.example.com -showcerts: 显示完整的证书链。openssl s_client -connect www.example.com:443 -tls1_2: 强制使用 TLS 1.2 协议连接。
speed: 测试各种加密算法的性能。openssl speed rsa2048 sha256 aes128: 测试 RSA 2048、SHA-256 和 AES-128 的速度。
第三部分：注意事项、常见问题与故障排除
- 环境变量 PATH: 确保 OpenSSL
bin目录已正确添加到系统的 PATH 环境变量中。修改环境变量后，需要关闭并重新打开命令提示符窗口才能生效。 - 文件路径与引号: 如果你的文件路径或文件名包含空格，请使用双引号将其括起来，例如
"C:\My Documents\my key.pem"。 - 文件格式: OpenSSL 命令通常默认处理 PEM 格式。如果你使用 DER 或其他格式，需要通过
-inform和-outform参数明确指定。 - 私钥密码: 使用加密的私钥是推荐的安全做法，但每次使用时都需要输入密码。确保记住密码。如果私钥文件泄露，密码是最后一道防线。
- 权限问题: 确保你有读取输入文件和写入输出文件的权限。在一些受保护的系统目录（如
C:\Program Files）下可能需要管理员权限。 - 版本兼容性: 不同的 OpenSSL 版本在功能和命令参数上可能有细微差异。如果遇到问题，可以查阅你所安装版本的官方文档（通常在安装目录的
docs子目录中）。 - 配置文件 (
openssl.cnf): OpenSSL 的行为可以通过配置文件进行定制，例如设置默认的 CSR 字段值、定义扩展等。配置文件通常位于安装目录的ssl子目录中。高级用法可能需要修改此文件或使用-config参数指定其他配置文件。
结论
OpenSSL 是一个功能极其强大的密码学工具集，尽管在 Windows 上的安装过程不如 Linux/Unix 那样直接，但通过使用预编译的二进制文件并正确配置环境变量，用户可以轻松地在 Windows 环境下使用它。
本文详细介绍了在 Windows 上安装 OpenSSL 的步骤，并深入讲解了其在密钥生成、CSR 创建、证书处理、PFCS#12 文件操作以及证书链验证等方面的常见命令行用法，并提供了一些其他实用命令的简介。掌握这些基本用法，将使你能够处理大多数与 SSL/TLS 证书和密钥相关的日常任务。
安全是持续的挑战，熟练掌握 OpenSSL 这样的工具，将极大地提升你在处理网络安全和数据加密方面的能力。希望本文能为你提供一个坚实的基础，鼓励你进一步探索 OpenSSL 更高级的功能和用法。记住，实践是掌握任何命令行工具的最佳途径，多尝试，多查阅文档，你将能充分发挥 OpenSSL 的潜力。