有效的证书链长度是否可以为1？

Question

我正在尝试使用简单的Java代码来检索远程服务器的证书链。有些网站返回一系列证书（2,3,4 ..），有些只返回1.我的问题是：当我获得长度为1的证书链时，有什么问题吗？

Answer 1

有三种可能的情况：

1. 他们提供自签名证书
2. 他们提供由根证书（罕见情况）签名的证书，您认为该证书具有可信任性
3. 他们提供由他们期望您拥有的CA证书签名的证书（非常常见的情况，因为在Windows中间CA证书也存储，因此您可以构建完整的链）

您可以轻松检查案例1，但默认情况下不会信任此类证书（除非用户信任它们）。 在案例2和3中，您需要使用本地证书存储作为帮助程序来重建链。