同一OpenSSL命令执行过程中为何出现CA证书验证失败与完整证书链展示并存的矛盾情况？

其实这俩情况压根不矛盾，咱们拆开来唠就清楚了：

• 验证失败是本地信任库的问题
  你运行的openssl s_client -connect 3d.example.com:443 -debug命令里，OpenSSL会默认用你本地系统的信任CA证书库去校验服务器返回的证书链。但你的本地信任库没装最顶层的AAA Certificate Services根证书，所以它没法走完整个信任链的验证流程，就抛出了unable to get local issuer certificate和unable to verify the first certificate这俩错误——说白了就是“我本地不认这个根证书，没法确认这个证书链是靠谱的”。

• 证书链展示只是“晒收到的东西”
  但s_client这个工具不管验证过没过，都会把服务器发过来的完整证书链内容给你打印出来，这只是在告诉你“我从服务器拿到了这些证书”，可不是说它验证通过了。你看输出里的证书链，服务器确实把从域名证书（*.example.com）到中间CA，再到上层CA，最后到根CA的完整链条都发过来了，只是你的本地环境不认这个根CA罢了。

• 客户端差异的根源也在这儿
  为啥有的客户端能连、有的不行？道理一样：能正常连接的客户端（比如不少主流浏览器）的信任库里已经预装了AAA Certificate Services这个根证书，所以能顺利完成验证；而报错的客户端本地信任库没这个根证书，自然就卡在上握手这一步了。

备注：内容来源于stack exchange，提问作者JK01