u2f-php验证YubiKey 5 NFC提示“签名验证失败”求调试方案

以下是针对证书问题的实用调试步骤：

• 提取并核对设备证书
  从YubiKey 5 NFC的U2F响应中提取设备证书，导出为PEM格式后，用openssl命令查看详细信息：

  openssl x509 -in device-cert.pem -text -noout
  

  对比旧款YubiKey NEO证书的颁发者（Issuer）字段，确认新款设备的证书是否由新的CA机构签发。

• 检查u2f-php的信任证书列表
  找到u2f-php中加载的2014版Yubico CA证书文件，查看其中是否包含新款证书的上级CA。同时可以临时禁用证书校验（仅调试用），修改验证逻辑跳过证书链检查，如果此时签名验证通过，即可确认是证书信任范围的问题。

• 手动验证证书链
  收集设备证书、可能的中间CA证书，使用openssl手动验证证书链：

  openssl verify -CAfile trusted-certs.pem device-cert.pem
  

  根据返回的错误信息（如“无法获取本地颁发者证书”），定位缺失的CA证书。

• 更新信任的CA证书集合
  获取Yubico官方最新的U2F CA证书，替换u2f-php中旧的证书文件，替换后重新测试签名验证。注意确保证书来源的合法性。

• 抓包对比交互流程
  用抓包工具捕获新旧YubiKey在U2F注册/验证过程的交互数据，重点对比两者返回的证书内容、签名数据格式是否存在差异，排除协议层面的其他问题。

内容的提问来源于stack exchange，提问作者BurninLeo