在Node.js开发中，有时我们需要与使用自签名证书或过期证书的HTTPS服务交互。直接请求会因证书无效而报错，此时可能需要临时忽略HTTPS证书验证。但这一操作存在安全风险，如何正确实施？本文通过5个实际场景详解解决方案。

一、为什么需要忽略HTTPS证书？

HTTPS证书是网站身份的“数字身份证”，浏览器和Node.js默认会严格校验其有效性。但在以下场景中，你可能需要临时绕过验证：

1. 测试环境：使用自签名证书的内网服务（如`https://192.168.1.100`）

2. 爬虫开发：某些老旧网站证书过期但服务仍可用

3. 本地开发：Docker容器或本地Mock服务未配置正式证书

> 示例代码（直接请求会报错）

> ```javascript

> const https = require('https');

> https.get('https://自签名证书的网址', (res) => {

> // 抛出错误: UNABLE_TO_VERIFY_LEAF_SIGNATURE

> });

> ```

二、如何安全地忽略证书验证？

方法1：通过`rejectUnauthorized`参数（推荐临时方案）

```javascript

const https = require('https');

const agent = new https.Agent({

rejectUnauthorized: false // 关键参数

});

https.get('https://不安全网址', { agent }, (res) => {

// 此时能正常获取响应

```

- 适用场景：快速调试或一次性脚本

- 风险提示：此操作会暴露于中间人攻击（MITM），永远不要在生产环境使用！

方法2：自定义CA证书（更安全的长期方案）

如果服务端使用私有CA颁发的证书，可将CA公钥加入信任列表：

const fs = require('fs');

const caCert = fs.readFileSync('./my-private-ca.pem');

const agent = new https.Agent({

ca: caCert // 只信任指定CA

https.get('https://内部服务', { agent }, (res) => {

// 既绕过公开CA验证，又保证通信安全

三、真实场景案例解析

案例1：测试环境调用Kubernetes API

K8s集群API通常使用自签名证书。开发者可这样处理：

// k8s-client.js

const k8sApiUrl = 'https://k8s-master:6443/api';

rejectUnauthorized: false,

timeout: 5000 // 添加超时避免卡死

// 注意：仅在测试集群允许此操作！

案例2：爬取***历史数据网站

某市***档案网站因预算问题未续费SSL证书，但数据仍需采集：

// crawler.js

try {

const res = await axios.get('https://old.gov-data.cn', {

httpsAgent: new https.Agent({ rejectUnauthorized: false })

});

} catch (err) {

console.log('建议记录错误日志并人工核查');

}

四、必须知道的安全风险！

忽略证书验证相当于“闭眼过马路”，会导致：

1. 数据泄露：攻击者可伪装成目标服务器窃取信息

（如登录凭证、API密钥）

2. 代码注入：恶意中间人可能篡改返回的JSON/JS内容

（想象下载的npm包被注入`rm -rf /`）

3. 合规问题：金融/医疗类应用可能违反GDPR等法规

五、最佳实践建议

|场景|解决方案|备注|

||||

|开发/测试环境|使用自签名工具（如mkcert）生成可信本地证书|比完全关闭验证更安全|

|生产环境|始终保证有效证书（Let's Encrypt免费）|-|

|遗留系统迁移|用Nginx反向代理+有效证书做中转|逐步淘汰老旧系统|

```bash

Linux下快速生成测试证书（非生产用途）

openssl req -x509 -newkey rsa:4096 -nodes -out cert.pem -keyout key.pem -days 365

来说，Node.js中可通过`rejectUnauthorized: false`快速绕过HTTPS验证，但务必限定在非生产环境使用。长期方案应建立可控的私有PKI体系或修复证书问题。安全与便利的天平上，多一分谨慎就少一次事故！

TAG:node请求忽略https证书,node请求接口,node配置https,node设置请求头参数,nodejs请求https