如何用OpenSSL在Linux上检查证书链

要在Linux上使用OpenSSL检查证书链，请遵循以下步骤：

1. 首先，确保您已安装了OpenSSL。大多数Linux发行版默认安装了OpenSSL。如果没有，请使用以下命令之一安装：

   对于基于Debian的系统（如Ubuntu）：

   sudo apt-get update
   sudo apt-get install openssl
   

   对于基于RPM的系统（如CentOS、Fedora）：

   sudo yum update
   sudo yum install openssl
   

2. 将服务器证书、中间证书和根证书保存到文本文件中。例如，将服务器证书保存到名为server.crt的文件中，将中间证书保存到名为intermediate.crt的文件中，将根证书保存到名为root.crt的文件中。

3. 使用以下命令将证书链接在一起，以便OpenSSL可以检查证书链：

   cat server.crt intermediate.crt root.crt > fullchain.crt
   

4. 使用OpenSSL检查证书链的有效性：

   openssl verify -CAfile root.crt fullchain.crt
   

   如果证书链有效，您将看到以下输出：

   fullchain.crt: OK
   

   如果证书链无效，您将看到错误消息，例如：

   fullchain.crt: C=US, O=Example, CN=example.com
   error 20 at 0 depth lookup: unable to get local issuer certificate
   

   这意味着OpenSSL无法验证证书链中的某个证书。您需要检查证书文件是否正确，并确保它们按正确的顺序链接在一起。

通过这些步骤，您可以使用OpenSSL在Linux上检查证书链的有效性。