Azure App Service合并中间证书相关技术疑问咨询

问题1：若最终需合并证书，CA为何要提供证书链中的多个证书而非单个？ #

CA分开提供证书链里的各个证书，核心是为了灵活性：

• 证书链本身是分层结构：根CA证书（已预装在绝大多数客户端的信任存储里）→ 中间CA证书 → 你的服务器证书。很多场景下，中间CA证书已经被客户端广泛信任（比如知名CA的中间证书），这时用户只需要部署服务器证书就能正常工作，不需要额外的中间证书。
• 不同系统的部署逻辑不同：有些系统允许单独配置中间证书存储，不需要和服务器证书打包；还有的用户可能需要将中间CA证书部署到内部信任体系里，供多个服务共用，分开提供就能满足这类差异化需求。
  合并成单个文件只是Azure App Service这类特定平台的部署要求，不是所有场景都需要，所以CA不会直接提供合并好的文件，而是把选择权交给用户。

问题2：已持有多份证书的用户为何要合并它们，而非用于多种用途？ #

这些证书属于同一条信任链的不同层级，不是独立的、用于不同用途的证书：

• 服务器证书是直接绑定你的域名的，但它本身无法被客户端直接信任——客户端需要通过中间CA证书追溯到已信任的根CA证书，才能确认服务器证书的合法性。
• 像Azure App Service这类平台，要求SSL证书文件必须包含完整的证书链（服务器证书+中间证书，按指定顺序），这样客户端访问时能一次性获取所有验证所需的证书，避免出现“证书不受信任”的错误。
  如果不合并，单独上传服务器证书，客户端在验证时找不到对应的中间证书链，就会判定证书无效，导致HTTPS访问失败。

内容的提问来源于stack exchange，提问作者chrisc