证书验证报错：无法获取颁发者证书，请求排查端点证书签名问题

首先咱们直接戳中问题根源：你碰到的这个错误，核心是验证端（不管是浏览器、curl这类工具还是其他客户端）在校验服务器证书时，找不到签发它的中间CA证书的信任链路——要么是你的服务器没把中间CA证书和服务器证书一起发送，要么是验证端的信任库里没存这个中间CA证书。

结合你给出的签名命令和CSR信息，咱们一步步排查解决：

1. 先补全完整的证书链 #

你现在只有单独的服务器证书，但验证端需要从服务器证书回溯到中间CA，再到根CA才能建立信任。所以第一步要把**服务器证书（server.crt）和中间CA证书（intermediate.crt）**合并成一个完整的证书链文件：

cat server.crt ../intermediate.crt > server_chain.crt

注意顺序必须是先服务器证书，再中间CA证书，不能反过来，验证端是从叶子证书往根证书回溯的。

2. 先自行验证证书链的有效性 #

用OpenSSL先给自己做个校验，确保链是通的：

openssl verify -CAfile ../root.crt server_chain.crt

这里的../root.crt是签发你中间CA的根CA证书，如果验证返回server_chain.crt: OK，说明证书链本身没问题。

3. 配置服务器使用完整证书链 #

不管你用的是Nginx、Apache还是其他服务端软件，都要把证书配置改成刚才生成的server_chain.crt，而不是单独的server.crt，举两个常用例子：

• Nginx配置示例：

  ssl_certificate /path/to/your/server_chain.crt;
  ssl_certificate_key /path/to/your/server.key;
  

• Apache配置示例：

  SSLCertificateFile /path/to/your/server_chain.crt
  SSLCertificateKeyFile /path/to/your/server.key
  

4. 客户端验证失败的额外处理 #

如果是curl、Postman这类客户端工具验证失败，那大概率是客户端没信任你的中间CA证书：

• 可以把intermediate.crt导入到客户端的信任列表里；
• 或者用curl命令直接指定信任的CA文件（如果根CA已经被信任，直接用根CA即可；如果没有，也可以把根CA+中间CA合并成一个文件后指定）：

  curl --cacert ../root.crt https://www.mysrvr.com
  

小检查：确认服务器证书的签发者 #

你可以用这个命令查看服务器证书的签发者信息，确保它确实是你的中间CA签发的：

openssl x509 -in server.crt -noout -issuer

输出的签发者信息应该和你中间CA证书的主题信息完全匹配。

内容的提问来源于stack exchange，提问作者LordTitiKaka