ssl - 有效的证书链长度可以为 1 吗？

Question

我正在尝试一个简单的 Java 代码来检索远程服务器的证书链。一些网站返回证书链（2,3,4..），而一些只有 1。我的问题是：当我获得长度为 1 的证书链时有什么问题吗？

Answer 1

可能有以下三种情况：

1. 他们提供自签名证书
2. 他们提供由根证书（罕见情况）签名的证书，您被认为是受信任的
3. 他们提供由 CA 证书签名的证书，他们希望您拥有该证书（很常见的情况，因为在 Windows 中也存储了中间 CA 证书，因此您可以构建完整的链）

您可以轻松检查案例 1，但默认情况下此类证书不受信任（除非用户信任它们）。在情况 2 和 3 中，您需要使用本地证书存储作为帮助器来重建链。