能否通过OpenSSL将PKCS7或PEM格式转换为PkiPath？

OpenSSL没有专门的命令行工具直接生成PkiPath格式，但可以通过组合命令手动构造符合标准的PkiPath结构，以下是具体步骤：

一、从PKCS7提取证书链（如果已有PKCS7文件） #

如果你的输入是PKCS7格式文件（如certificado.p7b），先提取其中的证书链到PEM格式：

openssl pkcs7 -in certificado.p7b -print_certs -out chain.pem

二、将PEM证书链转换为PkiPath格式 #

PkiPath本质是DER编码的ASN.1 SEQUENCE OF Certificate，需按以下步骤构造：

1. 提取单个证书为DER格式
   假设chain.pem中包含按顺序排列的证书（用户证书→中间CA→根CA），逐个提取为DER文件：

# 提取第一个证书（用户证书）
openssl x509 -in chain.pem -out cert1.der -outform DER -nokeys
# 提取第二个证书（中间CA），-skip参数指定跳过前N个证书
openssl x509 -in chain.pem -out cert2.der -outform DER -nokeys -skip 1
# 若有更多证书，继续增加-skip参数值（如-skip 2提取第三个）

2. 构造PkiPath的DER结构
   PkiPath的ASN.1结构是SEQUENCE包裹所有证书的DER数据，需手动拼接：

• 先将每个DER证书转为十六进制文本：

xxd -p cert1.der | tr -d '\n' > cert1.hex
xxd -p cert2.der | tr -d '\n' > cert2.hex

• 计算所有证书的总字节数，生成SEQUENCE的ASN.1头：
  SEQUENCE的标签为0x30，长度字段规则：
  • 总长度<128：长度字节为0xXX（XX是总长度的十六进制值）
  • 总长度≥128：长度首字节为0x8N（N是长度的字节数），后续字节为总长度的十六进制（大端序）
    示例：若两个证书总长度为2200（十六进制0x898），则SEQUENCE头为30 82 08 98
• 拼接头与证书十六进制内容，转回DER文件：

# 替换下方的头内容为实际计算的结果
echo "30820898$(cat cert1.hex cert2.hex)" | xxd -r -p > pkipath.der

3. Base64编码（与Clojure代码对齐）
   将生成的PkiPath DER文件转为Base64编码：

# Linux/macOS使用base64命令
base64 pkipath.der > pkipath.b64
# 若需无换行的Base64，添加-w 0参数
base64 -w 0 pkipath.der > pkipath.b64

说明 #

PkiPath的核心是按顺序将证书链包装为ASN.1 SEQUENCE结构，上述步骤完全符合X.509标准，生成的结果与Clojure代码中getEncoded("PkiPath")的输出一致。

内容的提问来源于stack exchange，提问作者Thales