| 作用 | 隔离根私钥：根只签中间，中间签发终端证书 |
|---|---|
| 约束 | basicConstraints 为 CA:TRUE 并可用 pathlen 限制层级 |
| 风险点 | 中间证书过期或被替换后，服务器未更新链文件即校验失败 |
| 交叉签名 | 新根尚未普及时，用旧根为同一中间公钥再签一份 |
检查链中的中间证书
检查链中的中间证书
openssl s_client -connect example.com:443 -servername example.com -showcerts </dev/null 2>&1 | grep -E 's:|i:' | head -12中间证书过期属于典型事故：服务器证书未到期，但服务端仍在发送旧链，客户端报链无效。