必须先执行mkcert -install，否则浏览器因不信任本地CA而显示“您的连接不是私密连接”；需以管理员权限运行，成功后提示“The local CA is now installed in the system trust store!”；生成证书时须覆盖localhost、127.0.0.1和::1等全部访问方式。
必须先执行 mkcert -install
不运行这一步，生成的证书在 Chrome、Edge 或 Firefox 里都会显示“您的连接不是私密连接”，因为系统和浏览器根本不信任这个根 CA。哪怕你把 localhost.pem 双击安装进“受信任的根证书颁发机构”，也无效——mkcert 的信任机制依赖它自己安装的本地 CA，不是手动导入单个证书。执行时需以管理员身份运行命令提示符或 PowerShell，否则会提示权限错误。成功后你会看到 “The local CA is now installed in the system trust store!” 和 “⚡️ Java’s trust store” 两行提示。
mkcert 命令要带全本地访问目标
只跑 mkcert localhost 是不够的。现代浏览器（尤其 Chrome 117+）对 localhost 的 HTTPS 处理更严格，必须同时覆盖常见访问方式，否则可能在地址栏显示“不安全”或跳转失败。推荐一次性签发：
-
mkcert localhost 127.0.0.1 ::1—— 覆盖 IPv4、IPv6 和域名 - 如果项目还用到自定义 hosts 映射（比如
dev.test），就加进去：mkcert localhost 127.0.0.1 ::1 dev.test
生成的文件名类似 localhost+2.pem 和 localhost+2-key.pem，其中 +2 表示签了 3 个主体（localhost + 127.0.0.1 + ::1）。别改名，也不用转成 .crt 或 .key——Apache 能直接读 .pem 格式。
Apache 配置路径必须相对于 conf/ 目录写
XAMPP 的 httpd-ssl.conf 默认在 XAMPP\apache\conf\extra\ 下，里面两行关键配置：
SSLCertificateFile "conf/ssl.crt/server.crt" SSLCertificateKeyFile "conf/ssl.key/server.key"
注意：这里的 "conf/ssl.crt/..." 是从 Apache 的 conf/ 目录开始算的，不是从 bin/ 或 htdocs/。所以你应该把生成的 localhost+2.pem 放到 XAMPP\apache\conf\ssl.crt\，把 localhost+2-key.pem 放到 XAMPP\apache\conf\ssl.key\。目录不存在就手动建。如果放错位置，Apache 启动会失败，错误日志里大概率出现 SSL Library Error: error:02001003:system library:fopen:No such process，但很多人只看控制台红字，没翻 logs/error.log 就重装 XAMPP。
重启 Apache 前检查端口和模块
即使证书和路径都对，https://localhost 仍打不开，大概率是以下两个原因：
-
Listen 443没开：确认httpd.conf里有Listen 443这一行，且没被注释 -
ssl_module没启用：确认httpd.conf中LoadModule ssl_module modules/mod_ssl.so这行已取消注释 - 443 端口被占用：常见于 Skype、IIS 或其他服务。可用
netstat -ano | findstr :443查进程 ID，再用任务管理器结束
改完配置后，务必通过 XAMPP 控制面板「Stop」再「Start」Apache，不要只点「Restart」——有时模块加载状态不会刷新。
最易忽略的一点：mkcert 生成的证书有效期默认是 1 年，但它的根 CA 一旦安装就长期有效；如果你半年后发现 HTTPS 又报错，先检查证书是否过期（openssl x509 -in localhost+2.pem -text -noout | findstr "Not After"），而不是怀疑配置或重装工具。
