验证链完整性
验证链完整性
openssl s_client -connect example.com:443 -showcerts </dev/null 2>/dev/null | grep -E 's:|i:' | head -20
openssl verify -CAfile /etc/ssl/certs/ca-certificates.crt -untrusted chain.pem leaf.pem| 叶证书 | 域名证书本身，服务器私钥配对 |
|---|---|
| 中间证书 | CA 的二级签发证书，必须随链下发 |
| 根证书 | 内置在系统/浏览器信任库，不随服务下发 |
把「叶证书+中间证书」拼成一个文件（fullchain）配置到 nginx ssl_certificate；只配叶证书在 Android 上必挂。