证书与 PKI30 条

AIA 扩展与链补全

AIA（Authority Information Access）扩展包含 caIssuers（中间证书下载地址）与 OCSP 地址；部分客户端会在链缺失时按 caIssuers 自动补链，但很多移动端与库不会，因此不能依赖自动补链。

内容	caIssuers 指向签发者证书，OCSP 指向吊销查询
用途	链不完整时客户端尝试在线获取中间证书
局限	移动端与受限网络常无法访问，补链失败即报错
保留原则	RFC 5280 建议即使链中已提供中间证书也保留 AIA

读取 AIA 与链检查

openssl x509 -in cert.pem -noout -text | grep -A2 'Authority Information Access'
openssl verify -CAfile root.pem -untrusted intermediate.pem cert.pem

正确做法是服务端发送完整链（不含根），把 AIA 当作兜底而不是主要路径。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌