证书链

OpenSSL报certificate chain too long：error 22与verify_depth深度排查证书没过期，根也配对了，OpenSSL却报certificate chain too long。别急着从fullchain里删一张证书：可能不是文件太大，而是验证端允许的中间CA层数不够。本文用隔离证书链复现error 22，说明verify_depth怎样计数，以及它和CA证书里的pathlen为什么不能互相代替。

OpenSSL报CA signature digest algorithm too weak：error 68与签名摘要排查证书没过期，RSA公钥也有2048位，OpenSSL却报CA signature digest algorithm too weak。先别继续加长密钥：这个错误盯的是证书签名摘要，不是单看公钥位数。本文用隔离证书复现error 68，区分签名算法、证书指纹与安全等级，再给出重新签发和验收路径。

OpenSSL报self-signed certificate in certificate chain：error 19与信任根排查服务器明明把根证书也发出来了，OpenSSL却报self-signed certificate in certificate chain，curl仍然不信任。这里容易把“链里有根”与“客户端信任根”混成一件事。本文用临时私有CA和回环HTTPS对照，定位error 19，并解释为什么删掉服务端根证书后，错误文字变了，问题却没修好。

OpenSSL verify报unable to get issuer certificate：error 2与partial_chain排查中间证书明明放进了CA文件，OpenSSL却报unable to get issuer certificate。补了链还不行，是证书坏了，还是信任放错了位置？本文以error 2为入口，区分“提供建链材料”和“指定信任锚”，再判断是否真的应该使用-partial_chain。

OpenSSL verify报unhandled critical extension：error 34与关键扩展排查HTTPS证书域名没错、链也补齐了，OpenSSL verify却报unhandled critical extension。先别继续下载根证书：这次要查的是某层证书里的关键扩展，验证程序能不能理解并执行它。本文从error 34和depth入手，定位扩展、核对签发模板，再保持正常验证策略验收。

OpenSSL verify报CA certificate key too weak：auth_level与弱密钥链排查证书链齐全、域名也对，OpenSSL verify却报CA certificate key too weak。问题可能不是缺链，而是某层公钥强度达不到验证策略。本文用auth_level固定门槛，分清叶子与CA弱密钥，再换对应材料，不把安全等级往下拧。

OpenSSL verify报invalid CA certificate：basicConstraints与keyCertSign排查中间证书文件明明在，OpenSSL verify却报invalid CA certificate，有时紧跟着key usage does not include certificate signing。先别忙着再拼一份fullchain：找到签发者，不等于它有资格签证书。这里从basicConstraints和keyUsage入手，区分缺链、CA资格和用途限制，最后给出可留档的验证方式。

OpenSSL verify报certificate signature failure：error 7与证书签名排查证书能被OpenSSL读出来，域名和有效期也像是对的，执行verify却报certificate signature failure。这时别急着补SAN，也别把证书塞进信任库碰运气。error 7关注的是证书签名验证，不是“文件长得像证书”就能过关。本文按错误深度、签发者材料、文件一致性和复验四步排查。

OpenSSL报path length constraint exceeded：CA层级与pathlen排查根证书已信任，中间证书也补齐了，执行验证却报 path length constraint exceeded。这次不一定是“少了一张”，也可能是链的层级超出了CA证书允许的范围。下面用OpenSSL的error 25定位出错CA，再区分证书里的pathlen和客户端的深度限制，避免修错开关。

OpenSSL报permitted subtree violation：证书SAN与CA名称约束排查HTTPS叶证书没过期，SAN也包含访问域名，OpenSSL却报 permitted subtree violation。别急着重装根证书：这可能是CA证书的名称约束拒绝了下级名称。下面区分“访问名能否匹配”和“这条链能否为这些名称背书”，再用error 47、48和离线命令定位。

OpenSSL verify报error 20：CAfile、fullchain与本地信任链分层排查看到 unable to get local issuer certificate，很多人先想到证书过期。其实 OpenSSL 的 verify 是在当前信任材料里找不到能继续向上构链的签发者。常见场景是：叶子证书已换新，服务端能完成 TLS 握手，但客户端拿不到中间证书，于是报 error 20 at 0 depth lookup。

证书没到期却报certificate has expired：OpenSSL定位中间证书与系统时间常见场景：证书面板显示还有几个月才到期，客户端却报 certificate has expired。先拆开“证书没过期”：你看的是哪一张证书，又是哪台机器在判断时间？HTTPS 验证的是一条信任路径，不是只看到期日。

协议与应用基础（三）：HTTPS、证书链与中间人攻击HTTPS 并不是一种新的应用层协议，而是 HTTP over TLS：先使用 TLS 建立一条经过认证和加密的连接，再在这条连接上传输 HTTP 请求和响应。

我是有底线的