在本地开发、测试或内网环境中，经常需要启用HTTPS来模拟生产条件或验证客户端与服务端的TLS握手。自签名证书虽然不会被公共信任机构认可，但对于开发联调而言已经足够。Python的subprocess模块可以非常方便地调用OpenSSL命令行工具，利用其成熟的参数体系完成私钥和证书生成。相比直接使用cryptography等第三方库，这种方式依赖更少，适合脚本化和自动化场景。
为什么要用subprocess调用OpenSSL
生成自签名证书的核心操作并不复杂：先产生RSA或EC私钥，再根据私钥签发一个X.509证书。OpenSSL命令行工具在这些操作上已经积累了非常完善的参数选项，从密钥长度、摘要算法到有效期、扩展字段都能精细控制。如果使用纯Python的cryptography库，也能实现相同功能，但需要安装额外的依赖包，而且在部分受限环境下安装编译型依赖会比较麻烦。stdlib中的subprocess允许直接复用系统已有的openssl，部署成本更低。
另一个好处是灵活性。开发团队可能需要快速切换证书算法，例如从RSA 2048改为ECDSA P-256，或者为不同服务生成不同CN和SAN的证书。通过构造命令参数列表，可以很容易地把这些变化封装到函数参数里，不需要改写底层密码学逻辑。同时也便于在自动化构建脚本中生成临时证书，让CI流程中的测试服务也能启用TLS。
当然，subprocess调用外部命令也有其注意事项，比如命令执行失败时需要捕获异常、参数列表要避免shell注入、以及Windows环境下openssl可能不在PATH中。这些问题会在后文详细展开，并给出一个健壮的封装实现。
核心实现：封装可复用的生成函数
下面实现一个函数，它接收输出目录、域名和有效期天数，生成私钥文件和证书文件。关键点在于使用subprocess.run而不是os.system，这样可以精确控制参数、捕获输出并检查返回码。代码中先执行openssl genrsa生成2048位私钥，再用openssl req一次性生成自签名证书，通过-subj参数避免交互式提问。
import subprocess
import os
from pathlib import Path
def generate_self_signed_cert(
output_dir: str,
common_name: str = "localhost",
days: int = 365,
key_size: int = 2048
) -> tuple[Path, Path]:
"""生成自签名证书，返回私钥和证书路径。"""
out = Path(output_dir)
out.mkdir(parents=True, exist_ok=True)
key_path = out / "key.pem"
cert_path = out / "cert.pem"
# 第一步：生成RSA私钥
gen_key_cmd = [
"openssl", "genrsa",
"-out", str(key_path),
str(key_size)
]
subprocess.run(gen_key_cmd, check=True, capture_output=True, text=True)
# 第二步：生成自签名证书，一次性写入证书文件
req_cmd = [
"openssl", "req",
"-new",
"-x509",
"-key", str(key_path),
"-out", str(cert_path),
"-days", str(days),
"-subj", f"/C=CN/ST=Dev/L=Local/O=Example/CN={common_name}"
]
subprocess.run(req_cmd, check=True, capture_output=True, text=True)
return key_path, cert_path
这个实现有两个地方值得说明。第一，subprocess.run的参数使用列表形式而不是拼接字符串，这样可以避免shell解析带来的注入风险。第二，check=True会在命令返回非零状态时抛出CalledProcessError，配合capture_output=True可以拿到标准输出和错误输出，方便日志记录。
如果openssl没有安装在系统PATH中，会直接抛出FileNotFoundError。因此实际使用中可以在函数开头增加一个检测逻辑，根据当前平台查找常见安装路径，比如Windows下默认可能位于C:\Program Files\OpenSSL-Win64\bin\openssl.exe。下文会给出一个跨平台辅助函数。
跨平台路径检测与错误处理
在不同操作系统上，openssl的可执行文件位置差别很大。Linux和macOS通常直接通过包管理器安装到/usr/bin/openssl或/usr/local/bin/openssl，用户一般已经配置好PATH。但Windows上即使安装了OpenSSL，也经常需要手动把bin目录加入环境变量，否则subprocess.run找不到命令。为了让脚本更健壮，可以先检查shutil.which的结果，再尝试一些常见路径。
import shutil
import sys
def find_openssl() -> str:
"""返回openssl可执行文件路径，找不到时抛出异常。"""
candidate = shutil.which("openssl")
if candidate:
return candidate
if sys.platform == "win32":
# Windows常见安装路径，注意反斜杠必须保留
possible_paths = [
r"C:\Program Files\OpenSSL-Win64\bin\openssl.exe",
r"C:\Program Files\OpenSSL\bin\openssl.exe",
r"C:\OpenSSL-Win64\bin\openssl.exe"
]
for p in possible_paths:
if os.path.isfile(p):
return p
raise FileNotFoundError("未找到OpenSSL可执行文件，请先安装或配置PATH")
这个辅助函数先使用shutil.which查找PATH，如果在Windows上找不到，再尝试几个固定路径。使用raw字符串保留反斜杠，避免转义问题。实际项目中可以把这个函数集成到前面的生成函数里，将openssl变量传入命令列表。
除了路径问题，错误处理还需要覆盖CalledProcessError。比如目标目录没有写权限、私钥文件已存在且不覆盖等情况，都会导致命令失败。可以在调用处捕获异常并给出友好提示。下面是一个示例封装，将命令执行和错误包装放在一起。
def run_openssl(cmd: list[str]) -> None:
try:
result = subprocess.run(
cmd, check=True, capture_output=True, text=True
)
if result.stdout:
print(result.stdout)
if result.stderr:
print(result.stderr, file=sys.stderr)
except FileNotFoundError as exc:
raise RuntimeError("找不到openssl命令，请检查安装和PATH") from exc
except subprocess.CalledProcessError as exc:
print(f"OpenSSL命令失败，返回码：{exc.returncode}", file=sys.stderr)
print(exc.stderr, file=sys.stderr)
raise
添加SAN扩展以适应现代浏览器
虽然传统的CN（Common Name）字段可以用来标识主机名，但现代浏览器和TLS客户端越来越依赖SAN（Subject Alternative Name）扩展。如果证书只设置了CN而没有SAN，Chrome等浏览器可能会显示证书无效。对于自签名证书，手动添加SAN可以让本地测试更接近真实环境，减少不必要的告警。
在OpenSSL 1.1.1及更高版本中，可以通过-addext参数直接在req命令里添加SAN。例如要为localhost和127.0.0.1签发证书，可以这样写：
req_cmd = [
openssl, "req",
"-new", "-x509",
"-key", str(key_path),
"-out", str(cert_path),
"-days", str(days),
"-subj", f"/CN={common_name}",
"-addext", f"subjectAltName=DNS:{common_name},IP:127.0.0.1"
]
subprocess.run(req_cmd, check=True, capture_output=True, text=True)
需要注意，-addext参数需要OpenSSL版本支持，旧版本可能需要先生成配置再交给openssl命令。使用前可以先执行openssl version查看版本。另外，如果common_name本身就是IP地址，可以只配置IP类型的SAN，写法为IP:192.168.1.10。对于本地多服务场景，建议把域名和回环地址都加进去。
证书生成后，可以用openssl x509命令查看证书内容，确认SAN扩展是否生效。在自动化流程中，也可以通过subprocess调用这个命令进行验证，但通常只在调试阶段手动执行。对于PEM格式的证书和私钥，记得私钥文件不应提交到版本库，可以加入.gitignore，避免泄露风险。
Python subprocess自签名证书SSL/TLS修改时间：2026-09-21 01:27:49