主 题：TLS证书链排查：从浏览器报错到服务端验证的完整方法
发 布 者：shunrai
标签分类： 技术
时 间：2026-08-15 20:17:23
内容预览：一、确认证书链结构TLS 通常涉及站点证书（Leaf）、一个或多个中间证书（Intermediate）和客户端信任库中的根证书（Root）。服务端一般发送站点证书与中间证书，不必手动加入根证书。证书文件的顺序应为：站点证书在前，中间证书在后。只配置单张站点证书，常会导致部分旧系统、Java 客户端或命令行工具无法找到签发者。排查时不要只看服务器上的文件，因为 SNI、反向代理、CDN 或负载均衡可能使客户端实际收到另一条链。二、检查服务端实际输出openssl s_client -connect example.com:443 \\ -servername example.com -showcerts %26lt%3b/dev/null重点检查：Verify return code 是否为 0 (ok)；第一张证书的 subject 是否对应目标域名；第一张证书的 issuer 是否能对应下一张证书的 subject；是否误发了其他站点的证书。查看证书主题、签发者和有效期：openssl x509 -in fullchain.pem -noout \\ -subject -issuer -dates该命令只读取文件中的第一张证书；文件包含多张证书时，仍应以 s_client 的实际输出确认完整链路。三、检查 Nginx 配置server { listen 443 ssl; server_name example.com; ssl_certificate /etc/ssl/example/fullchain.pem; ssl_certificate_key /etc/ssl/example/privkey.pem;}ssl_certificate 应指向包含完整链的文件，而不是仅含站点证书的 cert.pem。示例路径须按实际目录、权限和运行用户调整。修
直达链接： https://www.nodeseek.com/post-876064-1
发 布 者：shunrai
标签分类： 技术
时 间：2026-08-15 20:17:23
内容预览：一、确认证书链结构TLS 通常涉及站点证书（Leaf）、一个或多个中间证书（Intermediate）和客户端信任库中的根证书（Root）。服务端一般发送站点证书与中间证书，不必手动加入根证书。证书文件的顺序应为：站点证书在前，中间证书在后。只配置单张站点证书，常会导致部分旧系统、Java 客户端或命令行工具无法找到签发者。排查时不要只看服务器上的文件，因为 SNI、反向代理、CDN 或负载均衡可能使客户端实际收到另一条链。二、检查服务端实际输出openssl s_client -connect example.com:443 \\ -servername example.com -showcerts %26lt%3b/dev/null重点检查：Verify return code 是否为 0 (ok)；第一张证书的 subject 是否对应目标域名；第一张证书的 issuer 是否能对应下一张证书的 subject；是否误发了其他站点的证书。查看证书主题、签发者和有效期：openssl x509 -in fullchain.pem -noout \\ -subject -issuer -dates该命令只读取文件中的第一张证书；文件包含多张证书时，仍应以 s_client 的实际输出确认完整链路。三、检查 Nginx 配置server { listen 443 ssl; server_name example.com; ssl_certificate /etc/ssl/example/fullchain.pem; ssl_certificate_key /etc/ssl/example/privkey.pem;}ssl_certificate 应指向包含完整链的文件，而不是仅含站点证书的 cert.pem。示例路径须按实际目录、权限和运行用户调整。修
直达链接： https://www.nodeseek.com/post-876064-1
