证书诊断

证书链检查

粘贴任意顺序的 PEM 证书集合。先检查，再按需选择目标证书和 CA 信任锚。

PEM 证书

在本地处理，不上传证书，不请求 AIA、OCSP 或 CRL。

链图与报告

粘贴 PEM 证书后开始检查。

目标与信任锚

目标证书信任锚

先运行一次以填充列表。仅在确实要将输入中的 CA 作为本次信任锚时选择它，然后重新检查。

最多 20 张 PEM 证书、256 KiB 输入和 64 个路径结果。

粘贴 PEM 证书后开始检查。

部署材料看起来齐全，客户端却仍然报颁发者错误时，证书链检查可以帮助定位问题。颁发者名称相同只表示存在候选关系，还需要用对应公钥验证签名。先看实际链接和路径终点，再决定是否调整证书包；顺序正确与客户端信任是两件不同的事。

为什么使用证书链检查

同名证书也要逐个验签

证书链检查会对名称匹配的颁发者逐个执行密码学验签。两张证书可能主体同名但公钥不同，报告会同时保留错误候选与正确链接，避免仅凭名称把本来不相连的证书画成一条链。

把顺序和信任假设分开

路径从目标证书朝颁发者延伸。自签名终点可以说明结构闭合，却不会自动成为受信任的根。只有主动选择输入中的 CA，才会报告路径是否到达该信任锚；默认不作信任假设。

替换证书包前先读懂断点

保留完整证书块

每张证书都要包含 BEGIN CERTIFICATE 和 END CERTIFICATE 边界。把中间证书一并粘贴，不能用私钥或 CSR 代替。解析器拒绝证书块以外的文本，报告保留原始编号，便于回到输入核对。

先解析再选择目标

第一次检查后，选项区会列出输入中的证书。若存在多个末端证书，需要手动选择本次要追踪的目标并重新检查。信任锚可不选；要选时只能从当前输入的 CA 证书中明确指定。

先读终点再决定导出

缺少颁发者不必然等于中间证书缺失，也可能只是没有提供根。JSON 可保存诊断；排序 PEM 则要求所有输入组成完整且无歧义的单一路径，并且没有报告问题。输入或参数变化后必须重新检查。

报告具体检查什么

真实签名链接

名称匹配后才尝试使用候选颁发者的公钥验签，并区分通过、失败和当前环境不支持。自签名也需要实际验证，算法不受支持时不会用名称匹配冒充成功。

逐张查看身份

报告显示主体、颁发者、序列号、SHA-256 指纹及 UTC 有效期。重复项按整张编码证书识别，主体同名不等于同一张证书，也不自动意味着重复。

基础路径诊断

检查过期、尚未生效、缺少颁发者、非 CA 签发者、证书签发用途及路径长度约束。重复扩展和未处理的关键扩展会被明确报告，不会悄悄忽略后给出全面有效的结论。

保留完整诊断

可以核对证书链顺序而不改写原输入。JSON 同时包含所有证书、候选链接、路径终点和诊断，并明确记录未执行系统根证书信任检查与吊销检查，方便交接时说明范围。

结果的范围与限制

不自动补证书: 发现证书链不完整后，请自行向相应 CA 获取缺少的材料并粘贴。工具不访问 AIA 地址、不连接域名，不发出 OCSP 请求或下载 CRL，因此无法判断服务器是否已经补齐。
不自动建立信任: 自签名不代表受到信任。到达自选信任锚只说明当前签名路径连接到你明确选择的 CA，不代表浏览器、操作系统或其他客户端一定会接受，也不替代根证书信任管理。
不做完整路径验证: 本地签名和字段检查不覆盖完整 RFC 5280 验证。名称约束、证书策略、应用用途、主机名匹配及完整算法强度策略均不在范围内，不能把报告当成网站全面安全证明。
不静默删除或选路: 交叉签名分支、重复项、无关证书、其他诊断问题或缺少终点会阻止排序 PEM 导出。原输入始终不变；成功完成分析后仍可下载 JSON，说明为什么无法给出明确排序。
只处理有限 PEM 输入: 最多接受 20 张 CERTIFICATE 证书块、256 KiB 输入。拒绝二进制 DER、PFX、PKCS#7、CSR 和私钥。路径探索最多保留 64 个结果，超限会报告，不会擅自选中其中一条。