浏览器提示“证书无效”是TLS握手阶段被系统/浏览器终止连接的结果，根本原因在于XAMPP自签名证书未被操作系统信任，需将server.crt导入“受信任的根证书颁发机构”存储，并确保访问域名与证书Common Name一致（如localhost），同时正确配置httpd-ssl.conf中的ServerName及端口。
不能忽略——浏览器提示“证书无效”不是前端能绕过的 UI 提示，而是 TLS 握手阶段被系统/浏览器主动终止连接的结果。你看到的页面根本没发出去，JavaScript 都没机会执行。
为什么本地 HTTPS 总是报“证书无效”
XAMPP 默认用自签名证书，这类证书天然不被操作系统或浏览器信任。它和“过期”“域名不匹配”是两类问题：前者是根证书未预装，后者才是配置错误。常见现象包括：
- 地址栏显示“不安全”，点击锁图标提示“此网站使用了不受信任的证书”
- Chrome 直接阻断页面加载，显示 NET::ERR_CERT_AUTHORITY_INVALID
- Firefox 显示 SEC_ERROR_UNKNOWN_ISSUER
- curl 或 PHP cURL 报 CURLE_SSL_CACERT / unable to get local issuer certificate
这不是 Apache 没启动、端口没开，而是证书链在客户端校验失败的第一关就卡住了。
真正有效的解决路径（非“忽略”）
目标是让系统信任你的本地证书，而不是让浏览器跳过验证——后者等于关掉 HTTPS 的安全意义。
XAMPP 8.0.30
下载
XAMPP 8.0.30 是一款免费、开源的跨平台 Web 服务器集成包，专为快速搭建本地 PHP 开发环境而设计。该版本核心组件包括：Apache 2.4.56、MySQL 8.0.33、PHP 8.0.30、phpMyAdmin 5.2.1 等。它支持 Windows、Linux 和 macOS 系统，可让开发者在个人电脑上轻松模拟服务器环境，无需复杂配置即可运行 WordPress、Thin
-
把
server.crt导入 Windows 受信任的根证书颁发机构存储：双击C:\xampp\apache\conf\ssl.crt\server.crt→ “安装证书” → 选择“本地计算机” → “将所有证书放入下列存储” → 勾选“受信任的根证书颁发机构” → 完成 - 重启浏览器（必须完全关闭再打开，不是刷新或新建标签页）：Chrome/Firefox 会缓存证书信任状态，仅重启标签页无效
-
确认证书 Common Name 和访问域名一致：生成时填的是
localhost，就只能用https://localhost访问；若用了myproject.test，hosts 文件必须映射该域名，且证书 CN 必须是它 -
不要用 127.0.0.1 替代 localhost：自签名证书默认只声明
localhost，https://127.0.0.1会被视为不同主体，仍报错
改端口后证书警告复现？检查 ServerName
把 HTTPS 端口从 443 改成 8443 后突然又报错，大概率是 httpd-ssl.conf 里 ServerName 还是 localhost，没同步成 localhost:8443。
- Apache 日志会写
Server certificate does NOT include an ID which matches the server name - 证书里的 Common Name 仍应为
localhost（不能填localhost:8443，OpenSSL 不认） - 但
httpd-ssl.conf中必须明确写ServerName localhost:8443，否则 Apache 不知道该用哪个证书响应这个地址 -
<VirtualHost _default_:8443>和Listen 8443也要对应，三者缺一不可
cURL 或 PHP 请求仍失败？别碰 CURLOPT_SSL_VERIFYPEER
PHP 代码里设 curl_setopt($ch, CURLOPT_SSL_VERIFYPEER, false) 能让请求过去，但这是高危操作：它直接关闭证书验证，中间人可篡改全部通信内容。
- 正确做法是更新 CA 包：下载 Mozilla
cert.pem，放到C:\xampp\php\extras\ssl\cert.pem - 编辑
php.ini，取消注释并修改curl.cainfo = "C:\xampp\php\extras\ssl\cert.pem" - 重启 Apache，用
php -r "print_r(curl_version());"查看cafile是否已指向新路径 - 如果框架（如 Guzzle）内部硬编码了
CURLOPT_CAINFO，需同步更新其值，否则 php.ini 设置会被覆盖
本地开发环境的“证书无效”本质是信任链缺失，补上根证书比任何跳过验证的 hack 都更干净、可复现、无安全隐患。
