【导读】Node.js 默认仅支持 HTTP，启用 HTTPS 必须完成 SSL 证书部署。本文详解证书加载方式、密钥安全管理策略及 TLS 协议最佳实践。
掌握该能力可显著降低 Web 接口被劫持风险，并满足 PCI DSS、GDPR 等合规要求。

HTTPS 是现代 Web 服务的基础安全层

HTTP 协议传输明文数据，在中间人攻击场景下极易泄露用户凭证与交易信息。自 Chrome 94 起，默认标记所有非 HTTPS 页面为「不安全」；主流 API 平台已强制拒绝未加密请求。
据 W3Techs 统计，截至 2026 年 Q1，全球 Top 100 万网站中 HTTPS 使用率达 92.7%。这不仅是浏览器推动的结果，更是企业风控体系的基本门槛。

Node.js 加载 SSL 证书的标准实现方法

Node.js 原生 https 模块依赖 fs.readFileSync() 同步读取 PEM 格式的证书文件：

• - 公钥证书（domain.crt）用于客户端验证服务器身份
• - 私钥文件（private.key）必须设置 chmod 600 权限并远离 Git 仓库
• - 中间证书链（ca-bundle.crt）需完整拼接，否则移动端可能校验失败

代码片段如下：

const https = require('https');
const fs = require('fs');
const options = {
  key: fs.readFileSync('/path/to/private.key'),
  cert: fs.readFileSync('/path/to/domain.crt'),
  ca: fs.readFileSync('/path/to/ca-bundle.crt')
};
https.createServer(options).listen(443);

生产环境部署三大实操建议

• - 不要硬编码证书路径：改用 process.env.SSL_CERT_PATH 实现多环境隔离
• - 强制禁用 TLSv1.0/v1.1：在 createServer 第二参数传入 secureOptions:{minVersion:'TLSv1.2'}
• - 自动化更新机制：配合 Let's Encrypt ACME 客户端或选用预签发的新网SSL证书，规避到期中断风险
• - 日志监控必备项：记录 tlsSocket.getPeerCertificate().valid_to 时间戳，触发告警阈值设为提前 15 天

新网提供全类型 SSL 证书（DV/OV/EV）、自动化部署工具包及免费 CSR 生成器，覆盖各类 Node.js 架构需求。

延伸思考：为什么很多团队仍卡在测试阶段？

• - 开发机缺少受信根证书导致 curl -k 才能访问
• - Nginx 反向代理后遗漏 X-Forwarded-Proto header 导致 Express req.protocol === 'http'
• - Docker 容器挂载权限错误引发 EACCES 错误

*本文由新网（Xinnet）内容中心编辑整理，转载请注明出处。

相关问题：
Q1：Node.js 如何兼容多个域名共用一张通配符 SSL 证书？
Q2：Express+PM2 场景下 reload 证书是否需要重启进程？