网站叶子证书
api.learnlab.cn
- 域名
- api.learnlab.cn, www.learnlab.cn
- 有效期
- 2026-06-18 → 2026-09-16
- 签发者
- LearnLab TLS CA R2
TLS 身份验证台 · 案卷 10-03
证书链故障诊断实验
一张证书看起来完整，不代表浏览器就该放行。布置故障，再沿着叶子证书、中间 CA、根 CA 与私钥证明逐层验真。
实验时钟
2026-08-14 10:30 CST
“服务器发来了证书”为什么仍然可能失败？浏览器需要证明域名、时间、签名链、信任锚、吊销状态和私钥持有关系同时成立。
等待验证服务器提供的身份链
箭头表示“由上一级签名”，不是请求转发路径中间 CA 证书
LearnLab TLS CA R2
- 约束
- CA: TRUE · pathLen: 0
- 有效期
- 2024-01-01 → 2030-12-31
- 签发者
- Study Trust Root 2024
客户端信任锚
Study Trust Root 2024
- 位置
- 浏览器信任库
- 有效期
- 2024-01-01 → 2044-01-01
- 信任来源
- 系统安全分发
关键区别：根证书通常不必由服务器发送，它是客户端预先信任的起点；中间证书通常必须由服务器补齐。链能连上，还要继续检查域名、有效期、用途、吊销与私钥证明。
浏览器最终结论
尚未验证这次连接
选择故障后点击“开始逐层验证”。配置变化后，旧结论不会被冒充成新结论。
等待盖章
七道验证关口
放行需要每一道必要检查都通过失败层与正确修复
修复配置，不绕过验证失败层：等待验证。
为什么“重新申请一张证书”不是所有故障的答案？
证书内容问题
域名、有效期或吊销出错时，通常需要签发覆盖正确名称的新证书，并完成安全替换。
部署链路问题
漏发中间证书、加载错私钥时，证书本身可能没坏；应修正服务器链文件和私钥配置。
客户端信任问题
私有 CA 只适合受管客户端。公众服务应提供能落到公众客户端信任库的链，而不是教用户点击继续。