Linux OpenSSL 怎样查看证书链过期时间

在 Linux 上排查 HTTPS 证书，最短路径是先用 openssl s_client -connect 域名:443 -servername 域名 -showcerts 取回服务器发送的 PEM 证书，再对每张证书执行 openssl x509 -noout -dates。真正安排更换时，不要只盯叶子证书：把相关证书的 notAfter 横向比较，最早到期的那一张就是巡检清单里的首个截止点。

官方地址：https://docs.openssl.org/

看日期用 x509 -dates，看信任和链路是否成立用 verify；-showcerts 只说明服务器发来了哪些证书，不能单独证明验证成功。

一、先分清服务器发送列表和验证链

-showcerts 展示的是服务器发送的证书列表，不是已经验证的链。它适合发现中间 CA 是否漏发；客户端最终能否信任，还取决于本机信任库和构链结果。

# 固定 SNI，只提取服务器发送的 PEM 证书
openssl s_client -connect example.com:443 -servername example.com -showcerts /dev/null \
  | sed -n '/BEGIN CERTIFICATE/,/END CERTIFICATE/p' > chain.pem

没有 -servername 时，虚拟主机可能返回默认站点。sed 只负责提取 PEM 边界，不能代替校验。

二、查看域名返回的每张证书日期

把 PEM 拆成单张证书后，x509 -dates 会打印 notBefore 和 notAfter；-noout 避免输出整张证书正文。

# 按边界拆分，再逐张读取 subject、issuer 和日期
awk 'BEGIN{n=0} /BEGIN CERTIFICATE/{n++; f=sprintf("cert-%02d.pem",n)} {if(f) print > f} /END CERTIFICATE/{close(f)}' chain.pem
for cert in cert-*.pem; do
  # 独立输出每张证书，便于写入巡检记录
  printf '%s\n' "$cert"
  openssl x509 -in "$cert" -noout -subject -issuer -dates || exit 1
done
rm -f cert-*.pem

notBefore 是开始生效时间，notAfter 是失效时间。若显示“尚未生效”，先检查 Linux 主机的时钟同步。

三、用最早到期时间安排更换

巡检记录至少保留 subject、issuer、链中位置和 notAfter。叶子证书影响域名访问，中间 CA 过期则可能让部分客户端构链失败。

实际排期以相关链路中最早的 notAfter 为基准，并预留发布、缓存和回滚时间。根 CA 是否出现在发送列表中，要以目标客户端的构链方式为准。

四、用 verify 补做信任与有效性校验

日期正常不代表链路可用。openssl verify 还会检查签名、用途、信任设置和有效期。将叶子证书放入 leaf.pem，中间证书放入 intermediates.pem：

# 用系统默认信任库验证叶子证书，并把中间证书作为非信任输入参与构链
# -untrusted 不会把中间证书直接当成根信任，只提供构链所需材料
openssl verify -purpose sslserver -show_chain \
  -untrusted intermediates.pem leaf.pem

返回 OK 才表示在当前时间、当前信任库和指定用途下通过。若出现 unable to get local issuer certificate，优先检查中间证书漏发、PEM 是否完整以及系统 CA 包是否可用。

相关问题

为什么 -showcerts 看到了证书，浏览器仍然提示链错误？

因为发送列表不等于验证链。先用 verify 检查中间 CA、用途和本机信任库，再检查服务器是否按 SNI 返回了正确站点。

只看叶子证书的到期时间够不够？

不够。巡检至少要同时记录服务器证书和发送的中间 CA；最终以会影响当前客户端的最早到期时间安排更换。