收到两份SSL证书文件，文件SHA-256不同，OpenSSL显示的证书指纹却相同：到底是传输损坏，还是比较方式错了？先别急着重签。我会先问一句：你比的是文件、证书，还是公钥？三者都能算摘要，但不是同一张身份证。
一、先把比较对象说清楚
PEM是带头尾标记的文本封装，证书内容使用Base64表示；DER是证书的二进制编码。对PEM文件运行dgst，输入包括换行、空白和附加内容；x509的fingerprint则计算整张证书DER编码的摘要。公钥SPKI只是证书中的一部分，不能代表整张证书。
图只说明对象范围，不表示三种检查任选一种就能验收HTTPS。以下是本机OpenSSL 1.1.1k FIPS离线对照，临时证书由隔离夹具生成，未修改生产服务或系统信任库。其他版本仍应记录实际输出。
二、先看文件，再看证书指纹
把待比较文件只读复制到空的工作目录，分别命名为cert-a.pem、cert-b.pem；后面的输出文件名应确保未占用。示例不需要私钥，不要把私钥混进附件。四条命令独立观察，不能只拿最后一条退出码代表全部成功。
bash
openssl version
openssl dgst -sha256 cert-a.pem cert-b.pem
openssl x509 -in cert-a.pem -noout -sha256 -fingerprint
openssl x509 -in cert-b.pem -noout -sha256 -fingerprint明确写-sha256：本版本x509指纹默认SHA-1，不能和SHA-256文件摘要直接比较。指纹里有冒号、dgst带文件名，也只是显示格式；应先确认算法和输入对象，不要把整行文本直接相等当作摘要一致。
隔离测试把同一PEM由LF改为CRLF：文件摘要变化，证书指纹保持一致。这不代表忽略交付校验；如果交付规范要求字节完全一致，换行变化照样不合格，只是它不等于证书内容变化。
三、转成DER做整证书对照
下面整块保存为Bash脚本执行。每一步失败即停止，避免解析失败后拿旧的输出文件继续比较。两份合法且相同的证书转成DER后，摘要及字节比较都应一致。
bash
set -e
openssl x509 -in cert-a.pem -outform DER -out cert-a.der
openssl x509 -in cert-b.pem -outform DER -out cert-b.der
openssl dgst -sha256 cert-a.der cert-b.der
cmp cert-a.der cert-b.dercmp返回0是字节相同，1是不同，读取出错也会非零。x509读得出来只证明能解析目标证书，不证明签名、信任链、有效期或主机名通过；不应把这段脚本取名为"HTTPS健康检查"。
四、同钥重签，为什么指纹又变了
续期可以沿用公钥，但序列号、有效期、扩展或签名等证书字段会变化。隔离实验用同一密钥签发不同序列号证书，整证书指纹不同，规范导出的SPKI相同。renewed.pem在本节代表待比较的新证书；输出都是公钥，不是私钥。
bash
set -e
openssl x509 -in cert-a.pem -pubkey -noout -out pub-a.pem
openssl pkey -pubin -in pub-a.pem -outform DER -out spki-a.der
openssl x509 -in renewed.pem -pubkey -noout -out pub-b.pem
openssl pkey -pubin -in pub-b.pem -outform DER -out spki-b.der
openssl dgst -sha256 spki-a.der spki-b.der
cmp spki-a.der spki-b.der本例比较同一工具导出的SPKI DER编码。SPKI相同不证明证书有效，更不能单凭相同公钥判断部署了新版证书。反过来，字节不同也需要核对算法和参数编码，不要无条件扩张成所有公钥数学等价判断。本文不做公钥固定策略迁移。
五、fullchain里藏着另一个坑
x509单证书读取不能替你遍历fullchain。测试给同一叶子证书后面追加另一张证书，整个文件摘要改变，首张证书指纹仍相同；在首张之后追加无效尾部，本机单张读取仍可成功。于是"指纹没变"可能只说明你看的第一张没变。
交付完整链时，需按PEM对象逐张解析、核对顺序及签发关系，再按明确的信任策略验证路径。不能把单张转换成功当作全文件无损，也不应该为追求相同哈希删除中间证书。链顺序、服务器实际发送链与本地文件还要分别检查。
| 变化 | 文件摘要 | 证书指纹 | SPKI |
|---|---|---|---|
| 仅LF换CRLF | 变化 | 相同 | 相同 |
| 同钥不同序列号重签 | 变化 | 变化 | 相同 |
| 首张后追加证书 | 变化 | 首张相同 | 首张相同 |
六、把单张比较做成失败即停
保存下面完整脚本为compare-cert.sh，用bash compare-cert.sh cert-a.pem cert-b.pem调用。TMPDIR须指向已存在且可写的临时目录；不设时在当前目录创建。脚本只删除自身mktemp目录，不覆盖输入。
bash
#!/usr/bin/env bash
set -euo pipefail
[[ $# == 2 ]] || exit 2
work=$(mktemp -d "${TMPDIR:-.}/cert-compare.XXXXXX")
trap 'rm -rf -- "$work"' EXIT
openssl x509 -in "$1" -outform DER -out "$work/a.der"
openssl x509 -in "$2" -outform DER -out "$work/b.der"
if cmp -s "$work/a.der" "$work/b.der"; then
printf '%s\n' 'same first certificate DER'
else
printf '%s\n' 'different first certificate DER' >&2
exit 1
fi成功文案刻意写first certificate，防止误当全链结论。本轮提取最终HTML里的四块命令实际执行；相同编码、不同换行通过，不同证书拒绝，缺文件、坏PEM和临时目录不可用均失败。临时材料已清理。这里没有访问线上网站，不冒充真实HTTPS验收。
七、上线前再过一遍清单
- 说明比较目标：原文件字节、首张证书还是明确编码的公钥。
- 固定摘要算法，记录版本、来源和采样时间。
- 每一步解析和输出都成功，拒绝用空输出或历史文件继续判定。
- fullchain逐张核查，不能只看首张。
- 换证后从实际TLS终止点读取证书，再验证信任、名称、时间与业务响应。
摘要一致是某个对象的一致性证据，不是安全认证。证书过期也能算出漂亮的SHA-256，工具不会替你补上省略的验收条件。