SSLVerifyDepth 是 Apache 验证证书链时允许的最大层级数（含根 CA），默认为 1 仅支持终端证书直连根 CA；但主流证书如 Let’s Encrypt 为两级链，故需设为 2 或更高，否则因链不完整导致验证失败。
SSLVerifyDepth 是什么，为什么不能只设成 1
SSLVerifyDepth 控制 Apache 在验证客户端或后端服务器证书时，允许的证书链最大层级数。它不是“中间 CA 数量”，而是从终端证书开始，最多能向上追溯几级签名者（含根 CA）。默认值是 1，意味着只接受“终端证书 → 根 CA”这种直连结构。
但现实中几乎不存在这样的部署：Let’s Encrypt 的 R3 证书链是“终端 → R3 → ISRG Root X1”，商业证书常为三级甚至四级。若仍用 SSLVerifyDepth 1，Apache 会拒绝整条链，导致客户端连接直接失败（常见现象是浏览器提示“证书不可信”，error_log 中出现 unable to get local issuer certificate）。
怎么根据实际链长设置 SSLVerifyDepth 值
先确认你手头证书链的真实层级，再加 1 设置。不要凭感觉填 5 或 10 —— 过高会削弱校验效力，过低则误拒合法请求。
- 自签名证书（无中间 CA）：设为
1，但必须确保SSLCACertificateFile或SSLProxyCACertificateFile中已包含该自签根证书 - Let’s Encrypt、DigiCert 等主流公有云证书：通常是两级链（终端 → 中间 CA），设为
2 - 企业私有 PKI 或金融类后端：常见三级链（终端 → 中间 CA → 根 CA），设为
3 - 若用
openssl查链：运行openssl s_client -connect example.com:443 -showcerts 2>/dev/null | openssl crl2pkcs7 -nocrl -certfile /dev/stdin | openssl pkcs7 -print_certs -noout，看输出中subject和issuer的嵌套层数
SSLVerifyDepth 单独配置没用，必须配齐这三样
SSLVerifyDepth 是个依赖型指令：它不生效，除非配套的证书信任和验证开关都已正确启用。漏掉任一环节，Apache 会静默跳过校验或直接报错 500。
-
SSLVerifyClient require（双向认证）或SSLProxyVerify require（反向代理校验后端）—— 必须显式开启，optional等同于关闭 -
SSLCACertificateFile（客户端认证）或SSLProxyCACertificateFile（代理后端校验）—— 指向 PEM 格式文件，里面必须包含**全部中间 CA + 根 CA**，缺一个就断链 - 证书路径权限：Apache 工作进程用户（如
www-data或apache）必须有读取权限，SELinux 启用时还需检查上下文（ls -Z）
调试时最常踩的三个坑
设了 SSLVerifyDepth 3 还失败？别急着改数值，先排查这些真实高频问题：
-
SSLCACertificateFile指向的是空文件、路径拼错、或只放了根 CA 没放中间 CA —— 这是 90% 的“深度设对却无效”根源 - 客户端证书本身已过期、被吊销，或 SAN/CN 不匹配
SSLRequire规则 ——SSLVerifyDepth只管链长，不管内容有效性 - Apache 配置在
<virtualhost></virtualhost>外全局生效，但SSLVerifyDepth实际只在启用SSLEngine on的块内起作用；若写在非 SSL 虚拟主机里，会被忽略
真正麻烦的不是数值选几，而是你得同时确认链结构、信任库内容、权限、以及指令作用域是否对齐 —— 四者缺一不可。
