如何在Mac系统通过命令行从叶子证书生成.pem证书链？

没问题！在Mac上有几种靠谱的方法可以生成完整的PEM证书链，我给你详细说说：

如果你知道这个叶子证书对应的服务域名（比如example.com）和端口（一般HTTPS是443），可以直接通过OpenSSL连接服务来抓取完整的证书链：

• 打开终端，运行以下命令（把example.com:443换成你的服务地址）：

  openssl s_client -connect example.com:443 -showcerts </dev/null
  

• 命令输出里会包含所有证书，每个证书都以-----BEGIN CERTIFICATE-----开头，-----END CERTIFICATE-----结尾。你需要按叶子证书 → 中间证书 → 根证书的顺序，把这些证书块依次复制到一个新的文本文件里，保存为full_chain.pem就搞定了。

如果没法连接对应的服务，也可以通过Mac自带的钥匙串工具来获取中间和根证书：

1. 双击你的叶子.cer文件，在弹出的窗口里选择要添加到的钥匙串（推荐“系统”或“登录”），点击“添加”。
2. 打开「钥匙串访问」应用，在搜索框输入证书的名称找到它，右键选择「显示简介」。
3. 在简介窗口里展开「证书路径」，你就能看到完整的证书链（叶子→中间→根）。
4. 依次选中中间证书和根证书，右键选择「导出“证书名称”」，格式选择「Privacy Enhanced Mail (.pem)」，分别保存为intermediate.pem和root.pem。
5. 把你的叶子证书也转成PEM格式（如果还没转的话）：

   openssl x509 -in leaf.cer -out leaf.pem -outform PEM
   

6. 最后用终端命令拼接成完整链：

   cat leaf.pem intermediate.pem root.pem > full_chain.pem
   

生成完证书链后，可以用下面的命令验证是否正确：

openssl verify -CAfile full_chain.pem leaf.pem

如果输出leaf.pem: OK，说明证书链是有效的。

内容的提问来源于stack exchange，提问作者elevenothree