CA签发者（issuer）修改及多SubCA统一签发者可行性问询

嘿，我来帮你拆解这两个问题哈：

一、能不能修改CA的issuer值，让新签发的证书使用新的issuer？ #

答案是可以实现，但不是直接修改现有CA的配置。CA的issuer字段其实是由它自身的证书定义的——当CA签发证书时，会把自己证书里的subject字段作为新证书的issuer。所以如果想要新证书用新的issuer值，你需要重新生成一个CA证书，把它的subject设成你想要的新值，之后用这个新CA证书去签发后续的证书，新证书的issuer就会变成这个新值了。

旧的CA证书如果还在继续使用，它签发的证书依然会沿用原来的issuer，毕竟旧CA的身份已经被它自己的证书固定死了，没法直接修改。

二、多个SubCA能不能统一使用同一个issuer？会不会有冲突？ #

这个得分情况看：

• 如果是让多个SubCA签发的证书都显示同一个根CA的issuer：这不行。因为SubCA本身是由根CA签发的，SubCA签发证书时，必须把自己的subject作为新证书的issuer——这是证书链信任的核心逻辑，要是强行改成根CA的issuer，验证证书时系统会发现证书的issuer和实际签发它的SubCA的subject不匹配，直接判定证书无效，甚至认为是伪造的。
• 如果是多个SubCA共用同一个CA证书来签发：这其实已经不是“多个独立SubCA”了，而是同一个CA的多个运行实例，这种情况下它们签发的证书issuer自然是相同的，也不会有冲突——但本质上它们是同一个CA，只是部署了多个节点而已。

简单说，真正独立的多个SubCA，没法做到让它们签发的证书用同一个issuer，否则会破坏证书信任链的验证逻辑，引发信任错误。

备注：内容来源于stack exchange，提问作者Santyuste