根证书、服务器证书、用户证书的区别

https证书包含的文件

ca.cer	中间证书和根证书
nginx.cn.cer	你申请的ssl证书
fullchain.cer	包括了 ca.cer 和 nginx.cn.cer 的全链证书
nginx.cn.key	证书的私钥

什么是证书链

证书链的意思是有一个证书机构A，A生成证书B，B也可以生成证书C，那么A是根证书。

操作系统预先安装的一些根证书，都是国际上很有权威的证书机构，比如 verisign 、 ENTRUST 这些公司。

我们普通申请的ssl证书都是这些根证书的孙证书。根证书签发中间证书，中间证书签发ssl证书。

证书链的顺序是：ssl证书＋中间证书＋根证书。证书链上的每个证书都是被它相邻的证书签发。

证书以证书链的形式存在，只有当整个证书链上的证书都有效时，才会认定当前证书合法：

最上层为root，也就是通常所说的CA，用来颁发证书
最下层为end-user，对应是每个网站购买使用的ssl证书
中间一层为intermediates，是二级CA，这一层可以继续划分为多层，用来帮助root给end-user颁发证书。

浏览器中证书的验证顺序是

首先检查你购买的ssl证书的签发者是不是可信根证书，如果不是那么会检查你的证书的签发机构是否被可信根证书签发，以此类推，直到找到一个可信的根证书，标示你的证书是可信的，如果找不到那么你的证书是不可信的。

根证书是用来签发证书的，不参与通信，一般会内置在客户端的浏览器中。如果服务器没有安装中间证书，那么对于某些非主流浏览器、安卓手机设备，应用程序等可能没办法验证ssl证书的真实性，所以为了兼容所有客户端，服务器需要安装中间证书。

例如下面图中情况：你从证书2处购买了证书3，但是证书2不是默认包含在浏览器种的可信证书，中间证书2是根证书1签发的证书，如果服务器端只发送证书3不包含证书2，那么浏览器找不到证书3的签发者证书2，这样整个证书的验证链条就断裂了，你的证书就会被浏览器标识为无效证书“Invalid certificate” 或 “certificate not trusted”

总结

根证书是第三方被大家信任的认证机构自签名的证书，通常浏览器会内置。

服务器证书是包含包含“ssl证书＋中间证书”的证书链，对于某些不知名的中间证书，浏览器是不内置，服务器需要把ssl证书连同中间证书一起发送给浏览器，如果证书链不全，你的证书在这些浏览器上会不被信任。

用户证书有两种理解，如果对于证书颁发机构和服务器来说你可以理解为你申请的ssl证书；对于服务器-客户端交互来说是客户端的证书，比如我们的u盾。

大家可能有一个疑问，服务器上要不要安装根证书？从上面分析可以知道，浏览器是内置了根证书，不需要我们在服务器的证书链上加根证书。

如何安装中间证书？不同web服务器有不同的设置，apache有个变量SSLCertificateChainFile专门对应中间证书bundle，Nginx需要把ssl证书和中间证书打包为一个文件。

证书格式转换

cer和pem格式文件都是证书文件，key文件是私钥文件，证书机构会将两种格式的文件发放给客户。

pem或cer格式转为JKS格式文件包括公钥和私钥

第一步：在openssl命令行下输入如下命令，将pem或cer证书转pfx格式，回车后需要输入两次密码

pkcs12 -export -out server.pfx -inkey server.key -in server.pem（server.cer）

第二步：在命令行下使用java 的keytool工具，将pfx文件转换成jks文件

keytool -importkeystore -srckeystore server.pfx -destkeystore server.jks -srcstoretype PKCS12 -deststoretype JKS

pem格式证书转成cer格式

先在终端cd到文件目录下然后

openssl x509 -outform der -in xxx.pem -out yyy.cer

或者直接把pem文件双击导入钥匙串，然后再钥匙串里右键导出

(xxx 是原证书的名称，yyy是转格式生成的证书名称)

crt格式转成der格式