如何使用OpenSSL从CRT文件生成带完整证书链的PFX文件

之前执行的生成命令仅加载了单张域名终端证书，没有把中间CA、根CA证书一并打包进PFX文件，自然无法形成完整的信任链，和Let's Encrypt签发的全链证书结构不一致。

先明确各文件的层级，避免后续拼接顺序错误：

• STAR_domain_com.crt：域名对应的终端叶子证书
• SectigoRSADomainValidationSecureServerCA.crt：Sectigo DV级服务中间CA证书
• USERTrustRSAAAACA.crt：USERTrust 二级中间CA证书
• AAACertificateServices.crt：AAA根证书
• private.key：证书对应的私钥文件

第一步：拼接完整证书链文件 #

必须严格按照「叶子证书→近层中间证书→远层中间证书→根证书」的顺序拼接，顺序错误会直接导致信任链断裂。
根据你所在的系统环境执行对应命令：

Linux/macOS 环境 #

执行cat命令拼接：

cat STAR_domain_com.crt SectigoRSADomainValidationSecureServerCA.crt USERTrustRSAAAACA.crt AAACertificateServices.crt > full_chain_bundle.crt

Windows CMD 环境 #

执行copy命令拼接：

copy /b STAR_domain_com.crt + SectigoRSADomainValidationSecureServerCA.crt + USERTrustRSAAAACA.crt + AAACertificateServices.crt full_chain_bundle.crt

注：如果不需要内置根证书，可以去掉拼接命令最后一段的AAACertificateServices.crt，大部分主流客户端会自动匹配本地存储的已知根证书；内置根证书不会引发兼容性问题，和Let's Encrypt的全链PFX结构完全一致。

第二步：生成带完整链的PFX文件 #

用拼接好的全链证书bundle替换原命令里的单张域名证书，执行导出命令：

openssl pkcs12 -export -in full_chain_bundle.crt -inkey private.key -out STAR_domain_com_full_chain.pfx

执行后按提示设置PFX导出密码，这个密码需要妥善留存，后续IIS导入、Tomcat配置时都需要校验。

生成完成后可以执行以下命令检查PFX内的证书结构，确认链完整：

openssl pkcs12 -in STAR_domain_com_full_chain.pfx -nokeys -info

正常输出会按顺序显示3-4张证书，依次为你的域名证书、两层中间CA证书、根证书，不会再提示证书信任链缺失。

• 拼接证书时不要修改原.crt文件的内容，确保证书首尾的-----BEGIN CERTIFICATE-----、-----END CERTIFICATE-----标识完整，证书间的空行不影响openssl识别。
• 不要把私钥内容拼接到证书bundle文件中，私钥通过-inkey参数指定即可，避免私钥明文泄露。
• 生成的PFX可以直接在IIS的「服务器证书」功能中导入，也可以直接配置到Tomcat的server.xml证书项中，不需要额外在服务器上手动安装中间证书。

内容的提问来源于stack exchange，提问作者i'm guru