证书解码器
读取 X.509 证书，或最多 10 个 PEM 或 base64 DER 格式的证书链。对于每张证书，解码器都会显示主体、颁发者、序列号、有效期（含剩余天数）、公钥、签名算法、主题备用名称、密钥用法、约束、CRL 和 OCSP 地址、SHA-256 和 SHA-1 指纹以及 SPKI pin，并检查证书是否为自签名，或是否由链中的下一张证书签名。
常见问题
解码器支持读取哪些输入格式？
粘贴一个或多个以 -----BEGIN CERTIFICATE----- 开头的 PEM 块（常见于 .pem、.crt 和 fullchain 文件），或粘贴一个不带标头的 base64 DER 格式证书。最多可按粘贴顺序解码 10 张证书。
状态是如何计算的？
解码器会将当前时间与 notBefore 和 notAfter 日期进行比较，并报告证书是否有效、已过期或尚未生效，同时显示剩余或已逾期的整天数。日期以 UTC 的 ISO 8601 格式显示。
由下一张证书签名是什么意思？
对于证书链，每张证书的签名都会使用链中下一张证书的公钥进行验证，据此确定叶证书、中间证书和根证书的顺序。显示“否”意味着顺序有误或证书链不完整。这仅检查签名，不会根据信任存储、吊销状态或名称约束进行完整的路径验证。
如何检测自签名证书？
如果证书的颁发者与主体相同，且其签名可通过自身公钥验证，则该证书会被视为自签名。根证书是自签名证书，许多测试证书和内部证书也是如此。
会显示哪些指纹？
SHA-256 和 SHA-1 指纹是对完整 DER 编码证书计算的哈希，以大写十六进制字节对显示，各对之间用冒号分隔；浏览器和 openssl x509 -fingerprint 显示的也是这些值。应比较 SHA-256，因为 SHA-1 已不再具备抗碰撞性。
SPKI pin 有什么用途？
它是证书中 SubjectPublicKeyInfo 的 base64 SHA-256 哈希，该值用于 HTTP 公钥固定、Android 网络安全配置以及许多移动端固定库。使用相同密钥续签证书时，该值会保持不变。
会说明哪些扩展？
主题和颁发者备用名称、密钥用法、扩展密钥用法、含路径长度的基本约束、主题密钥标识符和颁发者密钥标识符、CRL 分发点、含 OCSP 和 CA 颁发者 URL 的授权信息访问，以及带有 CA/Browser Forum DV、OV、IV 和 EV 标记的证书策略。其他扩展会按名称或对象标识符列出。
如何获取网站的证书？
运行 openssl s_client -connect example.com:443 -showcerts 并从输出中复制 PEM 块，或从浏览器的证书查看器中导出证书。你也可以使用 SSL 证书检查器查询网站证书。
证书会被保存吗？
不会。证书只会在处理你的请求时于内存中解码，不会记录或保存。证书只包含公开数据，因此切勿在此粘贴对应的私钥。
有哪些限制？
输入最多可包含 131,072 个字符，且最多可包含 10 张证书。不会读取 OpenSSL 的 TRUSTED CERTIFICATE 块，因此请先使用 openssl x509 -in cert.pem -out plain.pem 进行转换。