链不完整（unable to get local issuer）

服务端只发送叶证书时，客户端报 unable to get local issuer certificate（verify error 20）。修复方式是把中间证书按顺序拼接后随叶证书一起下发，并用 s_client -showcerts 验证实际发送内容。

典型报错	unable to get local issuer certificate (20) / unable to verify the first certificate
验证命令	openssl verify -untrusted chain.pem leaf.pem
发送顺序	叶证书在前、中间证书在后，根证书通常无需下发

服务端链配置示例

ssl_certificate     /etc/nginx/ssl/fullchain.pem;
ssl_certificate_key /etc/nginx/ssl/example.com.key;

echo | openssl s_client -connect example.com:443 -servername example.com -showcerts 2>/dev/null | grep -c 'BEGIN CERTIFICATE'

把根证书一并下发会增加握手体积且没有收益；中间证书缺失才是常见断点。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌