KeyUsage 与 EKU 的组合规则

KeyUsage 限制密钥能做什么（签名、加密、签发），EKU 限制证书用于什么场景（TLS 服务端、客户端、代码签名）；两者叠加决定可用范围，配置不当会在特定客户端上失败。

RSA 服务器证书	digitalSignature 加 keyEncipherment（后者用于 RSA 密钥传输套件）
ECDSA 服务器证书	digitalSignature（ECDHE 场景不需要 keyEncipherment）
客户端证书	digitalSignature 加 EKU clientAuth
CA 证书	keyCertSign 加 cRLSign，且 basicConstraints 为 CA:TRUE

检查两处扩展

openssl x509 -in cert.pem -noout -ext keyUsage -ext extendedKeyUsage

新版校验器对 EKU 更严格：证书包含 serverAuth 才能用于 HTTPS 服务端；多用途场景要显式列出多个 EKU。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌