导出网站证书时选择 single certificate 和 ceritifcate chain 两种类型区别

了解 certificate chain 和 single certificate 的区别以及它们的使用场景，首要明确 SSL / TLS 证书的基础概念。SSL / TLS 证书是网络安全的重要组成部分，保证了数据在 Internet 上的加密传输和身份验证。当我们在 Chrome 浏览器使用开发者工具查看并导出 GitHub 的证书时，面临的选择 certificate chain 和 single certificate 反映了证书验证过程的两个不同方面。

single certificate 指的是单一的证书，仅包含被访问网站的证书信息。这个证书包含了网站的公钥、网站信息以及签发证书的 CA（证书授权中心）的签名。单个证书通常用于验证网站的真实性，但它不包含完整的信任链，这意味着如果客户端系统未预先安装了证书签发机构的根证书，就无法独立验证证书的真实性。

在对比中，certificate chain 包含了从网站证书到根证书的完整路径，这个路径上可能还会包含一个或多个中间证书。根证书是顶级证书机构（CA）的证书，这些证书一般被操作系统或浏览器预安装并信任。中间证书充当了根证书和最终网站证书之间的桥梁，它们被用来构建一条从受信任的根证书到目标网站证书的完整信任链。这种完整的证书链确保了证书验证的连续性和安全性，即使客户端系统没有预安装网站直接签发者的证书，只要信任了证书链中的根证书，就可以通过链上的中间证书验证网站证书的真实性。

使用场景和区别

single certificate 的使用场景相对有限，主要用于需要证书信息但不需要完整验证证书链的情况。比如，开发人员可能仅需要查看或验证特定服务器证书上的信息，如公钥、有效期、签发者等，而不需要建立完整的信任链验证。这在测试或开发环境中比较常见，特别是在使用自签名证书或内部 CA 签发的证书时，因为这些证书的根证书很可能没有被客户端预装。

与之形成鲜明对比的 certificate chain 使用场景则广泛得多。它适用于需要确保证书完整验证链的所有情况，这在生产环境中尤为重要。例如，在配置 SSL / TLS 服务器时，提供完整的证书链可以确保所有访问网站的客户端都能验证服务器证书的真实性，无论它们是否预装了网站证书的直接签发 CA 的根证书。这对于提高网站的兼容性和信任度至关重要。如果缺失中间证书，客户端可能因无法验证证书的有效性而拒绝连接，导致安全警告或错误。

举例说明

假设我们有一个网站 example.com，它的 SSL / TLS 证书是由某个中级 CA 签发的，而这个中级 CA 又是由一个广泛信任的根 CA 签发的。在这种情况下：

• 导出 single certificate 会得到 example.com 的证书，这足够证明网站使用了 SSL / TLS 加密，也可以查看到证书的签发机构等信息。然而，如果我们将这个证书部署到一个新的服务器上，而客户端没有预装签发这个证书的中级 CA 的证书，就无法建立信任关系。

• 导出 certificate chain，我们将得到一个包含 example.com 证书、中级 CA 证书、以及根 CA 证书的完整链。在新服务器上部署这个证书链，即使客户端没有预装中级 CA 的证书，只要预装了根 CA 的证书（大多数操作系统和浏览器都会预装常见的根 CA 证书），就能通过证书链验证 example.com 的证书，建立安全连接。

综上所述，选择 certificate chain 还是 single certificate 取决于具体的使用需求和场景。在需要确保客户端能够建立信任并安全连接到服务器的生产环境中，certificate chain 是必不可少的。而在仅需证书信息进行分析或测试的场景下，single certificate 可能就足够了。通过理解这两种导出方式的区别和应用场景，开发人员和系统管理员可以更有效地管理和部署 SSL / TLS 证书，确保网络环境的安全性和可靠性。