PHP 8.5 可通过 OpenSSL 扩展生成私钥、CSR 和自签名证书，前提是 OpenSSL 已正确启用并可用；需先验证 OPENSSL_VERSION_TEXT 和配置命令，再执行 openssl_pkey_new 等函数完成全流程。
PHP 8.5 本身不直接“生成证书”，但可通过其 OpenSSL 扩展调用底层 OpenSSL 库，执行密钥生成、CSR 创建、自签名等操作——前提是 OpenSSL 扩展已正确启用且功能就绪。
下面分两部分说明：先确保 OpenSSL 可用，再用 PHP 代码生成证书相关材料（如私钥、CSR、自签名证书），全程无需命令行 openssl 命令。
✅ 第一步：确认 PHP 8.5 的 OpenSSL 已真正可用
PHP 8.5 默认禁用所有非核心扩展，且官方二进制多数采用静态链接 OpenSSL（即功能已编译进 php 可执行文件）。此时：
-
extension=openssl在php.ini中加了反而报错：“Module 'openssl' already loaded” -
php -m | grep openssl可能为空，但不代表不可用
✅ 正确验证方式（两个命令缺一不可）：
立即学习“PHP免费学习笔记（深入）”；
php -r "echo OPENSSL_VERSION_TEXT;" # 应输出类似：OpenSSL 3.2.1 30 Jan 2024 php -i | grep "Configure Command" | grep --with-openssl # 若含 --with-openssl=/path 或 --with-openssl（无=后路径），说明已链接
⚠️ 如果第一条报错或无输出 → OpenSSL 未就绪，需先解决（见下文常见卡点）。
常见卡点与处理：
Windows 下 DLL 依赖缺失：即使启用了
extension=php_openssl.dll，若缺少libssl-1_1.dll和libcrypto-1_1.dll，openssl_*函数会静默失败。
✔️ 解法：把这两个 DLL 文件和php_openssl.dll放在同一目录，并在php.ini中显式指定extension_dir = "D:/your/php/path/"Linux/macOS 编译安装时漏了
--with-openssl：
✔️ 重编译时必须加--with-openssl（推荐带路径，如--with-openssl=/usr），否则openssl_*函数全部不可用。改错了 php.ini 文件：
✔️ 运行php --ini查 CLI 配置；phpinfo()查 Web SAPI 配置 —— 两者可能不同。
? 第二步：用 PHP 8.5 的 OpenSSL 扩展生成证书材料
以下代码在 PHP 8.5 环境中可直接运行（无需外部命令），生成：
- RSA 私钥（2048 位）
- CSR（证书签名请求）
- 自签名 X.509 证书（有效期 365 天）
<?php
// 1. 生成私钥
$config = [
'private_key_bits' => 2048,
'private_key_type' => OPENSSL_KEYTYPE_RSA,
];
$privateKey = openssl_pkey_new($config);
if (!$privateKey) {
die("私钥生成失败：" . openssl_error_string());
}
// 2. 导出 PEM 格式私钥
openssl_pkey_export($privateKey, $pemPrivateKey);
file_put_contents('server.key', $pemPrivateKey);
// 3. 创建 CSR（需填写域名等信息）
$csrData = [
'commonName' => 'localhost',
'organizationName' => 'My Dev Team',
'countryName' => 'CN',
'emailAddress' => 'admin@example.com',
];
$csr = openssl_csr_new($csrData, $privateKey);
if (!$csr) {
die("CSR 创建失败：" . openssl_error_string());
}
openssl_csr_export($csr, $pemCsr);
file_put_contents('server.csr', $pemCsr);
// 4. 自签名生成证书（使用同一私钥）
$cert = openssl_csr_sign($csr, null, $privateKey, 365);
if (!$cert) {
die("证书签名失败：" . openssl_error_string());
}
openssl_x509_export($cert, $pemCert);
file_put_contents('server.crt', $pemCert);
echo "✅ 私钥(server.key)、CSR(server.csr)、证书(server.crt) 已生成。\n";
?>? 注意事项：
-
openssl_csr_sign($csr, null, ...)中第二个参数为null表示自签名；若要交由 CA 签发，此处应传入 CA 的证书资源。 - 所有
openssl_*函数返回false时，务必用openssl_error_string()捕获具体错误，这是调试关键。 - PHP 8.5 中
openssl_sign()等函数新增了padding参数（如 PSS 填充），但上述流程默认使用标准 PKCS#1 v1.5，兼容性更好。
? 补充：如需双向 TLS（mTLS）客户端证书
可复用相同逻辑为客户端生成独立密钥对：
$clientKey = openssl_pkey_new(['private_key_bits' => 2048]); openssl_pkey_export($clientKey, $clientPemKey); $clientDetails = openssl_pkey_get_details($clientKey); $clientPemCert = $clientDetails['key']; // 公钥（PEM 格式） // 实际中客户端证书通常也需由服务端 CA 签发，而非直接用公钥
服务端验证时，需在 stream_context_create() 中配置 'verify_peer' => true 和 'cafile' => 'ca.crt' 等选项。
不复杂但容易忽略：生成证书只是第一步，后续 HTTPS 服务（如 Nginx/Apache）、PHP cURL 请求、JWT 签名验签等场景，都依赖 OpenSSL 扩展稳定就绪。先跑通 OPENSSL_VERSION_TEXT，再写代码，事半功倍。
