| 地位 | 信任锚：客户端校验的终点 |
|---|---|
| 有效期 | 通常 20 年左右（视各 CA 策略而定） |
| 保护 | 私钥离线保存、HSM 保管、签名操作有流程与审计 |
| 客户端信任库 | 系统包、浏览器内置、Java cacerts、语言运行时各自维护 |
查看链路末端与本地根
查看链路末端与本地根
openssl s_client -connect example.com:443 -servername example.com -showcerts </dev/null 2>&1 | tail -20
ls /etc/ssl/certs | head自建 PKI 时把根证书分发到全部相关客户端信任库是必做步骤，遗漏会出现链看似完整但校验失败的现象。