TLS 证书链：叶证书、中间证书与根证书

TLS 服务器通常会出示叶证书以及所需的中间证书，以便构建一条通往客户端已有信任锚的路径。根证书一般不随之发送，因为它无法自证可信；信任来自客户端的信任库。

证书信任是如何建立的

对服务器证书的信任，是沿着一条链建立起来的：从网站证书出发，经过中间证书颁发机构，直到客户端所信任的根证书。服务器通常会发送自己的证书和所需的中间证书，但不需要发送根证书。

如何检查证书链

针对实际使用的主机名检查证书：有效期、SAN 中的名称以及中间证书。如果一个客户端信任该网站而另一个不信任，请比较两者的信任库以及服务器发送的证书链；不要依赖之前缓存下来的中间证书。可达性可以单独用 2IP 服务器服务检测来检查，证书链则需要另行检查。

为什么不同客户端对信任的判断会不一致

技术参考：RFC 5280。