CSR 클라이언트 서명키란

1. 클라이언트: 키 쌍 생성 (개인키 보관, 공개키는 공개 가능)
2. 클라이언트: 공개키 + 신원정보(CN/O/OU/C…)를 담아 CSR 생성 → 개인키로 CSR에 서명
3. CA: CSR 검증 → 공개키를 인증서에 담아 CA 개인키로 서명 → 인증서 발급
4. 클라이언트: 인증서 + (원래 갖고 있던) 개인키를 한 쌍으로 사용

# 1) 개인키 생성 (RSA 4096비트)
openssl genrsa -out client.key.pem 4096

# 2) 개인키로 CSR 생성 (대화식으로 CN/O/OU/C 등 입력)
openssl req -new -key client.key.pem -out client.csr

# (mTLS 클라이언트 인증서라면) CA가 확장 필드를 지정해 서명
# client_ext.cnf
#   basicConstraints = CA:FALSE
#   keyUsage = critical, digitalSignature, keyEncipherment
#   extendedKeyUsage = clientAuth
openssl ca -config openssl.cnf -extfile client_ext.cnf \
  -in client.csr -out client.cert.pem

const forge = require('node-forge');

// 키 쌍 생성
const keys = forge.pki.rsa.generateKeyPair(2048);

// CSR 생성
const csr = forge.pki.createCertificationRequest();
csr.publicKey = keys.publicKey;
csr.setSubject([
  { name: 'commonName', value: 'client.example.com' },
  { name: 'organizationName', value: 'Instiz' },
  { shortName: 'OU', value: 'Backend' },
  { name: 'countryName', value: 'KR' },
]);

// 개인키로 서명 (proof of possession)
csr.sign(keys.privateKey, forge.md.sha256.create());

const csrPem = forge.pki.certificationRequestToPem(csr);
const privateKeyPem = forge.pki.privateKeyToPem(keys.privateKey);
// csrPem → CA에 제출, privateKeyPem → 서버 환경변수/시크릿 매니저에만 보관