使用 npm/yarn 等命令的时候会，为什么会发生 Error: certificate has expired

一、背景与问题

在使用 npm 或 yarn 安装依赖时，开发者可能遇到如下错误：

Error: certificate has expired

这个错误通常发生在以下场景：

使用 HTTPS 协议访问远程仓库时，证书过期（如 npm 官方仓库的 SSL 证书过期）
本地开发环境配置了自签名证书（如开发服务器的证书）
网络代理配置错误导致证书验证失败
依赖包本身包含过期证书（如第三方依赖包的 HTTPS 资源）

这个错误的本质是 TLS/SSL 证书验证失败，需要从网络协议、证书链验证、证书信任策略等多个层面深入分析。

二、基本原理

1. TLS 协议的握手过程

当使用 HTTPS 访问仓库时，会经历以下步骤：

客户端发起 HTTPS 请求
服务端返回证书链（包含公钥和证书）
客户端验证证书有效性（包括：
- 证书是否在有效期内
- 证书是否由可信的 CA 签发
- 证书是否匹配目标域名
- 证书链是否完整
双方协商加密算法并建立加密通道

2. 证书验证机制

npm/yarn 的证书验证流程包含以下关键点：

使用内置的 CA 证书库（如 npm 的 npm-shrinkwrap.json 中的 cert 字段）
验证证书链的完整性和有效性
检查证书是否匹配目标域名
检查证书是否在有效期内

3. 证书过期的触发条件

证书过期通常表现为：

证书的 notAfter 字段早于当前时间
证书的 notBefore 字段晚于当前时间
证书的签名算法已过时（如 RSA 签名算法）
证书的颁发者证书已过期

三、环境准备

1. 系统环境

本案例基于以下环境：

node -v
v18.16.1

npm -v
8.19.3

yarn -v
1.22.18

2. 工具准备

# 安装 node.js 和 npm
brew install node

# 安装 yarn
brew install yarn

# 安装 OpenSSL 工具
brew install openssl

四、核心实现

1. 基础错误复现

创建一个简单的项目来复现证书过期错误：

mkdir certificate-error-demo
cd certificate-error-demo
npm init -y

尝试安装依赖时会触发证书错误：

npm install axios

2. 证书验证机制解析

npm 在安装依赖时会进行以下验证：

// 假设的证书验证逻辑（简化版）
function verifyCertificate(cert) {
  const { notAfter, notBefore, issuer } = cert;

  // 检查证书是否在有效期内
  if (new Date() > new Date(notAfter) || new Date() < new Date(notBefore)) {
    throw new Error('certificate has expired');
  }

  // 检查证书是否由可信的 CA 签发
  if (!trustedCAs.includes(issuer)) {
    throw new Error('untrusted certificate');
  }
}

3. 三种解决方案

方案一：临时忽略 SSL 验证（不推荐）

# 忽略 SSL 验证（仅限开发环境）
npm config set strict-ssl false

# 或者
yarn config set strict-ssl false

# 安装依赖（会跳过证书验证）
npm install axios

风险提示：这种方法会显著降低安全性，可能导致中间人攻击。

方案二：使用自签名证书（开发环境）

# 生成自签名证书
openssl req -x509 -newkey rsa:4096 -keyout key.pem -out cert.pem -days 365 -nodes

# 配置 npm 使用自签名证书
npm config set cafile cert.pem

# 安装依赖（会使用自签名证书）
npm install axios

方案三：更新证书库（推荐）

# 更新 npm 的证书库
npm install --global npm@latest

# 或者
yarn set version latest

# 安装依赖（会使用最新证书库）
npm install axios

五、完整案例

1. 企业开发环境配置

创建一个完整的 CI/CD 流水线配置：

mkdir ci-cd-demo
cd ci-cd-demo
npm init -y

创建 .npmrc 配置文件：

# 自签名证书配置（开发环境）
strict-ssl = false
cafile = ./cert.pem

创建 package.json：

{
  "name": "ci-cd-demo",
  "version": "1.0.0",
  "dependencies": {
    "axios": "^1.5.1"
  }
}

创建 install.sh 脚本：

#!/bin/bash

# 安装依赖
npm install

# 验证证书
openssl x509 -in cert.pem -text -noout

运行脚本：

chmod +x install.sh
./install.sh

2. 证书验证流程图

客户端发起请求
│
└───> 服务端返回证书链
│
│ 验证证书有效性
│  ├─ 检查有效期
│  ├─ 检查 CA 信任
│  ├─ 检查域名匹配
│  └─ 检查证书链完整性
│
└───> 如果验证通过
     │
     └───> 建立加密通道
     │
     └───> 下载依赖包

六、源码解析

1. npm 的证书验证逻辑

在 npm 源码中，证书验证逻辑位于 lib/registry.js：

// 大致逻辑（简化版）
function verifyCertificate(cert, registry) {
  const { notAfter, notBefore, issuer } = cert;

  // 检查有效期
  if (new Date() > new Date(notAfter) || new Date() < new Date(notBefore)) {
    throw new Error('certificate has expired');
  }

  // 检查 CA 信任
  if (!trustedCAs.includes(issuer)) {
    throw new Error('untrusted certificate');
  }

  // 检查域名匹配
  if (!cert.subject.commonName.includes(registry)) {
    throw new Error('certificate domain mismatch');
  }
}

2. 证书链验证算法

证书链验证需要遍历整个证书链：

function verifyCertificateChain(cert, chain) {
  for (let i = 0; i < chain.length; i++) {
    const currentCert = chain[i];
    const nextCert = chain[i + 1];

    // 验证当前证书是否由上一证书签名
    if (!verifySignature(currentCert, nextCert)) {
      throw new Error('certificate chain invalid');
    }
  }
}

七、进阶使用

1. 证书缓存机制

# 查看 npm 缓存目录
npm config get cache

# 清除缓存（需要谨慎）
npm cache clean --force

2. 证书更新策略

# 自动更新证书库
npm install --global npm@latest

3. 证书有效期监控

# 监控证书有效期（需要安装 openssl）
openssl x509 -in cert.pem -text -noout | grep "Not After"

八、性能与工程实践

1. 性能优化

启用缓存机制（默认已启用）
使用压缩算法（如 AES-256）
启用 TLSv1.3 协议（推荐）
限制并发连接数（防止资源耗尽）

2. 异常处理

try {
  // 安装依赖
  await installDependencies();
} catch (error) {
  if (error.message.includes('certificate has expired')) {
    console.warn('证书过期，尝试更新证书库');
    await updateCertificateStore();
  } else {
    throw error;
  }
}

3. 安全实践

不要长期使用 strict-ssl: false 配置
定期更新证书库
对自签名证书设置有效期限制
使用 HTTPS 代理时配置信任的 CA 证书

九、常见问题与踩坑

1. 常见错误

错误类型	原因	解决方案
证书过期	证书未及时更新	更新证书或配置信任的 CA
域名不匹配	证书域名与访问域名不一致	使用正确的域名证书
CA 未信任	证书由不信任的 CA 签发	添加 CA 到信任列表
证书链不完整	证书链缺少中间证书	完整提供证书链

2. 常见坑点

错误配置代理：在使用代理时，未配置证书信任列表
依赖包问题：第三方依赖包包含过期证书
环境变量覆盖：环境变量可能覆盖配置文件
证书文件格式错误：PEM 格式证书可能包含多余内容

3. 网络代理配置错误

# 错误示例（未配置证书）
npm config set proxy http://192.168.1.10:8080

# 正确示例（配置信任证书）
npm config set proxy http://192.168.1.10:8080
npm config set cafile ./cert.pem

十、最佳实践

1. 推荐配置

生产环境：启用 strict-ssl: true（默认）
开发环境：使用自签名证书（配置 cafile）
CI/CD 环境：使用公司内部证书库（配置 cafile）
基础设施：定期更新证书库（npm install --global npm@latest）

2. 安全建议

对敏感数据使用 TLSv1.2 或更高版本
对证书有效期设置监控机制
对自签名证书设置有效期限制（如 90 天）
对第三方依赖进行安全扫描（如 npm audit）

3. 性能优化建议

使用压缩算法（如 Brotli）
启用 TLSv1.3 协议
使用 CDN 缓存常用依赖
对证书缓存设置合理策略

十一、总结

证书过期问题本质上是 TLS/SSL 证书验证机制的故障，需要从网络协议、证书链验证、信任策略等多个维度进行分析。在开发实践中，需要根据具体场景选择合适的解决方案：

开发环境：使用自签名证书 + 证书缓存
生产环境：严格验证证书 + 定期更新
CI/CD 环境：配置企业证书库 + 域名验证

安全与性能之间需要平衡，建议在生产环境中始终启用严格验证。对于证书管理，应建立完善的生命周期管理机制，包括证书更新、有效期监控、信任策略配置等。通过合理配置和监控，可以有效避免证书过期带来的服务中断风险。