OpenSSL自签名证书链验证失败：无法验证三级证书

一、验证rootca.crt是否为user1.crt根证书的方法 #

1. 完整链验证命令 #

直接通过OpenSSL的verify命令验证整个证书链，指定根CA为信任锚，中间CA为非信任链证书：

openssl verify -show_chain -CAfile rootca.crt -untrusted intermediate.crt user1.crt

• 如果返回user1.crt: OK，且输出的信任链中最终节点为rootca.crt的信息，说明rootca.crt是user1.crt的根证书。
• 如果报错，可根据输出的具体信息定位链断裂的环节。

2. 手动追溯证书 issuer/subject 链 #

通过对比证书的签发者（issuer）与上级证书的主体（subject），手动验证链的完整性：

1. 查看user1.crt的签发者：

openssl x509 -in user1.crt -noout -issuer

2. 查看intermediate.crt的主体与签发者：

openssl x509 -in intermediate.crt -noout -subject -issuer

3. 查看rootca.crt的主体：

openssl x509 -in rootca.crt -noout -subject

• 正常链应满足：user1.crt的issuer = intermediate.crt的subject，intermediate.crt的issuer = rootca.crt的subject，此时rootca.crt即为user1.crt的根证书。

二、你的验证问题排查方向 #

1. 使用-untrusted仍报invalid CA certificate #

大概率是中间CA证书（intermediate.crt）未正确配置CA属性：

• 检查中间CA的X509v3扩展，确认是否包含CA标识与签名权限：

openssl x509 -in intermediate.crt -noout -text | grep -A 15 "X509v3 extensions"

需确保存在以下关键配置：

• X509v3 Basic Constraints: critical, CA:TRUE（标记为CA证书）
• X509v3 Key Usage: critical, Certificate Sign, CRL Sign（拥有签发证书和CRL的权限）
  如果缺少这些配置，OpenSSL会拒绝将其视为合法的CA证书。

2. rootCA到intermediate验证正常，但user1到intermediate验证失败 #

常见原因：

• 签发者与主体不匹配：对比user1.crt的issuer和intermediate.crt的subject，确保两者完全一致（注意大小写、空格、字段顺序，OpenSSL对匹配要求严格）。
• 中间CA未正确签名用户证书：检查生成user1.crt的脚本，确认使用的是intermediate.key而非其他密钥签名，且签名时指定了正确的扩展配置（比如用户证书的keyUsage应为Digital Signature, Key Encipherment等，而非CA类权限）。
• 用户证书扩展配置错误：如果用户证书被错误标记为CA（CA:TRUE），或未配置正确的Extended Key Usage，也会导致验证失败。

内容的提问来源于stack exchange，提问作者unalignedmemoryaccess