如何向现有PKCS#7（p7b格式）证书包中添加证书？

当然可以用OpenSSL搞定这个需求，完全不用从头重建整个证书包，我给你一步步讲清楚操作流程：

• 第一步：提取现有p7b中的所有证书
  先把原p7b包里的所有证书导出成PEM格式的集合文件，执行这条命令：
  openssl pkcs7 -in existing_bundle.p7b -print_certs -out all_certs.pem
  这里的-print_certs参数会自动把p7b内的所有证书提取出来，每个证书还会附带subject和issuer的注释，方便你核对证书信息。如果你的原p7b是DER编码的（不是文本格式的PEM），记得加上-inform der参数：
  openssl pkcs7 -in existing_bundle.p7b -inform der -print_certs -out all_certs.pem

• 第二步：合并新证书到集合文件
  把你要添加的两个证书（假设是new1.crt和new2.crt，如果是DER格式的话，先转成PEM：openssl x509 -in new1.der -inform der -out new1.crt）追加到刚才生成的all_certs.pem里：
  cat new1.crt new2.crt >> all_certs.pem

• 第三步：重新打包成p7b格式
  最后把合并好的所有证书重新打包成PKCS#7格式的p7b文件：
  openssl crl2pkcs7 -nocrl -certfile all_certs.pem -out updated_bundle.p7b
  这里-nocrl是因为我们只处理证书，不需要包含CRL（证书吊销列表），-certfile指定包含所有证书的PEM文件，最终输出的就是更新后的证书包。

另外提一下keytool的方案：其实也能实现，但步骤相对繁琐，需要先把原p7b导入Java密钥库，再导入新证书，最后再导出成p7b（而且keytool默认只能单个导出证书，合并起来比较麻烦），所以更推荐用OpenSSL的方式，高效又直接。

备注：内容来源于stack exchange，提问作者not2savvy