如何从多证书拼接的PEM文件中批量查询SSL证书过期日期

你遇到的问题很常见——当PEM文件里拼接了多个SSL证书时，直接用openssl x509 -in cert.pem -noout -enddate只能读取第一个证书的过期信息。下面给你几个实用的Shell命令方案，能批量获取所有证书的过期日期：

方法1：用OpenSSL内置命令直接处理（最简洁） #

这个方法不需要生成临时文件，直接通过OpenSSL的格式转换功能批量解析所有证书：

openssl crl2pkcs7 -nocrl -certfile cert.pem | openssl pkcs7 -print_certs -noout -enddate

原理是先把PEM格式的多证书文件转换成PKCS7格式（忽略CRL），再让OpenSSL打印所有证书的过期日期，每个证书的notAfter信息会单独输出。

方法2：用Awk分割证书块并逐个解析 #

如果需要自定义处理逻辑（比如给每个过期日期加标记），可以用Awk脚本捕获每个证书的BEGIN/END块，逐个传给OpenSSL处理：

awk '
/BEGIN CERTIFICATE/{
    # 如果已经捕获过证书块，先处理它
    if (cert_content) {
        print cert_content | "openssl x509 -noout -enddate"
        close("openssl x509 -noout -enddate")
    }
    # 初始化新的证书块内容
    cert_content = $0 "\n"
    next
}
# 累加证书内容行
{ cert_content = cert_content $0 "\n" }
END{
    # 处理最后一个证书块
    print cert_content | "openssl x509 -noout -enddate"
    close("openssl x509 -noout -enddate")
}
' cert.pem

这个脚本会遍历PEM文件，每次遇到-----BEGIN CERTIFICATE-----就开始收集证书内容，直到下一个BEGIN或者文件结束，然后调用OpenSSL解析。

方法3：用csplit分割文件后批量处理 #

如果需要单独操作每个证书文件，可以用csplit把多证书文件分割成单个证书的临时文件，再循环处理：

# 分割PEM文件，每个证书生成一个xx开头的临时文件
csplit cert.pem '/-----BEGIN CERTIFICATE-----/' '{*}'

# 遍历所有临时文件并解析
for cert_file in xx*; do
    # 跳过空文件
    if [ -s "$cert_file" ]; then
        echo "===== 证书 $cert_file ====="
        openssl x509 -in "$cert_file" -noout -enddate
    fi
    # 删除临时文件
    rm "$cert_file"
done

csplit的{*}表示重复分割直到文件结束，分割完成后循环处理每个临时文件，最后清理临时文件。

内容的提问来源于stack exchange，提问作者iorireda3