向CA申请JWKS证书：非自签名证书类型（SSL/代码签名）选择咨询

• 结论：既不需要SSL证书，也不需要代码签名证书，你需要申请用于身份验证或数字签名的通用X.509证书。
• 为什么排除另外两类：
  • SSL证书（TLS证书）：核心作用是加密网络通信、验证服务器/客户端的通信身份（比如网站HTTPS），仅适配TLS握手场景，并非为JWK的密钥身份标识、签名验证需求设计。
  • 代码签名证书：专门用于为软件、脚本、二进制文件做签名，证明代码未被篡改或伪造，和JWK用于身份验证、JWT签名验证等场景完全不匹配。
• 正确选型说明：
  你需要的是CA颁发的、具备数字签名/身份验证扩展属性的X.509证书，这类证书可以绑定JWK中的公钥，用于证明密钥的合法所有者身份，适配JWK常见的使用场景（比如作为JWKS集合的一部分，验证JWT签名、服务间身份校验等）。部分CA会提供针对性的细分类型，比如"OAuth身份证书""服务身份证书"，本质都属于这类通用签名验证型X.509证书。

内容的提问来源于stack exchange，提问作者rodders