服务器 SSL 证书链不完整排查实战

证书链不完整会让部分客户端校验失败。以下是实战。

一、确认现象 - 部分客户端报证书错误 - 浏览器正常但 App 或命令行报错 - 特定系统更明显

二、定位 1) 用 openssl s_client 查看证书链 2) 检查是否缺少中间证书 3) 对比不同客户端的校验结果 4) 确认 SNI 与顺序正确

三、常见原因 1) 配置只放了服务器证书 2) 中间证书缺失或顺序错误 3) 交叉签名缺失 4) 配置未包含完整链 5) 不同客户端根证书差异

四、处理 - 补齐中间证书 - 按正确顺序配置证书链 - 处理交叉签名兼容 - 统一配置到所有节点 - 校验修复结果

五、优化 1) 证书链自动化校验 2) 统一证书管理 3) 多客户端拨测

六、预防 - 证书链检查纳入发布流程 - 到期与链完整性监控 - 兼容性测试

总结：证书链问题要先看链完整性，补齐中间证书并按序配置，纳入发布校验与监控预防。