TLS 证书链检查：握手成功不等于证书验证通过
终端能连上 HTTPS，浏览器却提示证书错误，常见误区是把“建立了加密连接”当作“身份验证通过”。TLS 排查至少要同时检查目标主机名、证书有效期、服务器发送的中间证书，以及客户端信任来源。本文以 OpenSSL 3.5 命令为依据，只检查自己管理或获准测试的服务，不需要提交任何私钥。
AI生成概念配图：浏览器沿证书链验证服务身份。仅辅助理解，不代表真实界面或实测结果。
先让验证失败真正成为失败
openssl version -a openssl s_client \ -connect example.com:443 \ -servername example.com \ -verify_hostname example.com \ -verify_return_error \ -showcerts </dev/null printf 'exit=%s\n' "$?"
-servername 提供 SNI，帮助服务端选择对应站点的证书；-verify_hostname 检查证书是否适用于目标名字，两者作用不同。-verify_return_error 很关键：s_client 是调试工具，默认可能显示验证错误后仍继续握手。排查记录应保留验证信息和退出状态，而不是只截取协商出的协议或加密套件。非零退出还可能来自网络或连接关闭错误，不能一律归因于证书。
上述命令使用本机可用的默认信任位置，具体内容取决于 OpenSSL 构建和运行环境。测试私有 CA 时，可以在明确了解信任边界后通过 -CAfile 指定组织发布的 CA 文件；不要把服务端随便给出的叶子证书塞入信任库，来掩盖原来的验证问题。
服务器发送了什么，不等于验证通过了什么
-showcerts 展示对端发送的证书列表，它本身不是“已验证证书链”的保证。通常服务器需要发送叶子证书与构建链路所需的中间证书；根证书一般由客户端信任库提供，不能因为服务端没发根证书就认定配置缺失。遇到多个可能的链路时，还要结合客户端的信任锚与验证策略分析。
把输出中的第一个公开证书 PEM 块单独保存为 leaf.pem，再检查其属性。只复制 BEGIN CERTIFICATE 到 END CERTIFICATE，不要混入调试文字，也不要把私钥当成证书文件处理。以下命令读取本地文件，不会自动替你证明整个站点可信。
openssl x509 -in leaf.pem -noout \ -subject -issuer -dates -ext subjectAltName openssl x509 -in leaf.pem -noout -checkend 604800
第一条展示身份、签发者、有效期和 SAN。第二条检查证书是否会在示例的一周窗口内到期，窗口值应按你的续期响应时间设定；它不能代替链路和主机名验证。有效期异常还应核对系统时间，避免把机器时钟问题误当成服务端证书问题。
按错误类型缩小范围
主机名不匹配时，检查访问域名是否包含在 SAN 中，以及负载均衡有没有选错证书。无法找到签发者时，既可能是中间证书未发送，也可能是本机缺少对应信任锚，不能只凭一句错误就下结论。过期错误要看发生在叶子还是链中其他证书，更新叶子未必能解决整条链的问题。
如果只有部分请求失败，还应比较不同入口、IPv4 与 IPv6、负载均衡节点及部署版本。浏览器、系统库和命令行工具不一定共享同一个信任库，所以一次命令行成功只证明当前测试条件下的结果。应在实际客户端环境再次验证，并记录对应的网络入口和时间。
把修复目标设为恢复验证
正确的收尾是部署合适的证书与链、确认目标名字及有效期、检查各入口一致，再通过客户端完成正常访问。跳过验证、忽略浏览器警告或长期信任未知证书，都只会把故障隐藏起来。检测脚本也应对验证失败返回明确告警，避免把“TCP 能连”写成“HTTPS 正常”。
