早上泡了杯茶翻技术交流群刚好看到好几个人在问，证书链验证过程到底是跑了哪些步骤？为什么明明装了证书浏览器还是提示不安全？说实话我刚接触SSL的时候也搞不懂这玩意，总觉得证书不就是摆那让浏览器加密用的吗？直到好几年前碰到一次网站提示证书不受信，我查了整整一下午才发现是证书链没配对，才慢慢搞明白这里面的道道。今天就随便聊聊，帮大家理清楚整个过程，其实没那些教材写的那么玄乎，搞懂核心逻辑一眼就能看明白问题出在哪。
证书链验证过程的核心目的是什么
说直白点，证书链验证就是帮浏览器确认“你这个网站的证书真的是靠谱机构发的，不是骗子伪造的”这么一个过程对吧？不对，你想啊，现在互联网上随便一个人都能生成一份证书，我也能给你的网站做一份证书，那浏览器怎么知道我这个是真的还是假的？这就需要一层层往上找靠山，直到找到一个浏览器本身就信任的“大靠山”，那这条路走通了，你的证书就是可信的，走不通，浏览器就直接给你弹个大红警告，说你这网站不安全。
我之前碰到过一个朋友，他买的是免费的Let’s Encrypt证书，装上去之后Chrome一直提示不安全，检查了半天发现他只上传了自己站点的证书，没装中间证书，导致证书链断了，浏览器找不到根证书，自然就不认了。你看，这就是没搞清楚证书链验证核心目的导致的问题，其实补个中间证书分分钟就解决了。
根证书和中间证书都扮演什么角色
很多人分不清楚根证书、中间证书、终端证书都是啥，我这里用大白话给你掰扯清楚。终端证书就是给你自己网站用的那个，上面写着你的域名信息，这是证书链最末端的那一张。然后往上走，就是给终端证书签名的证书，一般就是中间证书，中间证书又会被上一级的证书签名，一直往上走，最后到最顶端就是根证书。
根证书是什么？根证书是整个信任体系的起点，所有主流浏览器、操作系统本身都预装了一大堆权威根证书，这些根证书是默认就被信任的，不需要谁再给它们做证明。如果你的证书链能从自己的终端证书一路往上连到根证书，而且每一步的签名都验证通过，那整个证书链就是可信的。
那中间证书为啥存在呢？其实主要是为了安全和管理方便。根证书一般都放在离线服务器里，很少拿出来用，只用来给一级中间证书签名，中间证书再给下一级签名，最后才给你的终端证书签名。这样就算某一级中间证书出问题了，只需要废掉那一级就行，不用动根证书，安全很多。
完整的证书链验证步骤拆解
我把整个过程拆成简单的几步，你一看就懂：第一步，浏览器拿到你服务器返回的终端证书，先核对一下证书上的域名是不是当前访问的域名，有效期过了没，有没有被吊销。这一步就不对的话，直接就提示不安全了。
第二步，拿到终端证书之后，浏览器会提取出签发这张证书的机构信息，然后去找给它签名的上一级证书，也就是中间证书。服务器一般会把完整的证书链一起返回给浏览器，所以浏览器不用自己到处找。要是服务器没给，那浏览器可能会自己去下载，但是下载不到的话就直接报错了。
第三步，拿到上一级证书之后，浏览器会验证这一级证书的签名是不是合法的，也就是用上级证书的公钥来解密当前证书的签名，验证通过了，就继续往上找签发这一级证书的更上一级证书，重复这个验证过程。
第四步，一直往上走，直到某一级证书发现它就是根证书，也就是它自己给自己签名的，而且这个根证书已经在浏览器或者系统的信任列表里，那整个验证过程就通过了，浏览器就会认为你的证书是可信的，直接建立加密连接，不会弹警告。
要是中间哪一步出问题了，比如找不到上一级证书，或者签名验证不通过，或者最后找不到可信的根证书，那验证就失败了，浏览器就会提示你的证书不安全，问你要不要继续访问。
常见的证书链配置错误有哪些
我见过最多的错误就是漏装中间证书，很多新手朋友安装证书的时候，只传了自己的终端证书，没把中间证书加上，导致浏览器找不到往上连的路径，验证就断了。这个问题其实很常见，尤其是很多自助申请证书的平台，会把各个证书分开给你，你得自己合并起来上传。
第二个常见错误就是证书顺序不对，有些朋友把证书顺序搞反了，把根证书放最前面，终端证书放最后，顺序不对浏览器也认不出来。正确的顺序应该是终端证书在最前面，然后依次是各级中间证书，最后才是根证书，有些场景甚至不需要放根证书，因为根浏览器已经有了。
第三个错误就是用了自签根证书，又没有把根证书导入到用户的系统信任库里面，这种一般出现在企业内部网站，自己做内部证书用，要是没给所有员工的设备装根证书，那每个用户打开都会弹警告。
还有一种情况就是证书过期了，某一级中间证书过期了，虽然你的终端证书还没过期，但是整个证书链断了，照样会提示不安全。这种情况一般是发证机构更新了中间证书，你重新下载一个换上就好了。
其实总的来说，证书链验证过程就是一个信任传递的过程，从终端证书一路追溯到可信根证书，每一步都没问题，那你的证书就是可信的。很多时候出问题都是配置的时候少了一步，只要搞清楚每一张证书的作用，顺着检查一遍，问题很快就能定位解决。你要是碰到类似的问题，别慌，先把证书链拉出来看看，断在哪一步，补上去就好了，真没那么复杂。
【版权声明】：本站所有内容均来自网络，若无意侵犯到您的权利，请及时与我们联系将尽快删除相关内容!
