| 验证方式 | 域名：HTTP 文件、DNS TXT、邮箱；组织：工商与回拨核验 |
|---|---|
| 签发命令 | openssl ca（带索引与序列号管理）或 openssl x509 -req（单次签名） |
| 扩展决定 | SAN、EKU、有效期由 CA 侧配置决定，不是 CSR 写什么就有什么 |
| 产出 | 服务器证书 + 由 CA 链与服务器证书拼装的链文件 |
x509 -req 单次签发（测试场景）
x509 -req 单次签发（测试场景）
openssl x509 -req -in server.csr -CA ca.crt -CAkey ca.key -CAcreateserial -days 365 -extfile <(printf 'subjectAltName=DNS:example.com') -out server.crtx509 -req 不会写入 CA 数据库，无法用 openssl ca 的吊销流程管理，只适合一次性测试。