出于某个需求，要生成 127.0.0.1 的自签名证书。网上找到的方法要么过时了（现在只把 CN 设置为 127.0.0.1 的证书仍然会被认为非法 ），要么太繁琐。我研究了一下，以下这一条命令就可以生成当前可用的自签名证书：
openssl req -x509 -newkey rsa:4096 -sha256 -days 3650 -nodes -keyout localhost.key -out localhost.crt -subj "/CN=localhost" -addext "subjectAltName=DNS:localhost,IP:127.0.0.1,IP:::1"
生成后，在客户端上双击 localhost.crt，安装到“受信任的根证书颁发机构”。然后把 localhost.crt 和 localhost.key 交给服务器程序就行了。
有些服务器程序只接受 *.pem。其实 crt 加 key 就是 pem：
copy localhost.crt + localhost.key localhost.pem