| 层级 | 根（自签、内置信任库）→ 中间（可多级）→ 服务器（叶） |
|---|---|
| TLS 中的顺序 | 叶证书在前，其后每张证书直接签发前一张（RFC 8446 §4.4.2） |
| 验证要点 | 签名、有效期、用途扩展、吊销状态、名称约束 |
| 命令验证 | openssl verify -CAfile root.pem -untrusted intermediate.pem leaf.pem |
逐级确认签发关系
逐级确认签发关系
openssl crl2pkcs7 -nocrl -certfile fullchain.pem | openssl pkcs7 -print_certs -noout
openssl verify -CAfile root.pem -untrusted intermediate.pem leaf.pem验证是按信任锚倒推：只要存在一条能走到信任根的路径即可；链越长并不代表越安全，还会增加握手体积。