OpenSSL校验带名称约束证书因大小写差异报permitted subtree violation错误

该报错确实是OpenSSL对DirName类型的名称约束执行大小写敏感对比导致。
RFC5280规范明确要求Distinguished Name（DN）的属性对比不区分大小写，但OpenSSL 1.1.1及更早版本未遵循该规范，对Name Constraints中的DirName字段做大小写敏感匹配：你的根CA配置的允许DirName为C = US, O = Example，而PIV证书主体对应字段为C = us, O = example，敏感对比下匹配失败，触发error 47 permitted subtree violation报错。

• 升级OpenSSL版本：OpenSSL 3.0及以上稳定版本已经修复了该问题，升级后即可原生遵循RFC规范完成不区分大小写的DirName约束校验，无需修改任何证书配置。
• 调整CA名称约束配置：如果暂时无法升级OpenSSL，可以重新签发根CA证书，将DirName约束的字段大小写调整为和下级证书一致，比如修改为C = us, O = example，即可适配旧版本OpenSSL的校验逻辑。
• 新增兼容约束条目：如果根CA证书无法重新签发，可以在Name Constraints的允许列表中新增一条匹配下级证书大小写的DirName条目，同时保留原有条目，可同时兼容新旧版本OpenSSL的校验逻辑。
• 临时校验绕过（仅测试用）：如果仅需临时验证证书其他字段有效性，可以给openssl verify命令加上-no_name_constraints参数跳过名称约束校验，命令如下：

  openssl verify -no_name_constraints -noCAfile -CAfile root.crt -untrusted intermediate.crt piv-cert.crt
  

  注意该参数会完全关闭名称约束安全校验，禁止在生产环境使用。

内容的提问来源于stack exchange，提问作者Ben