Apache 2.4.8+ 已废弃 SSLCertificateChainFile，须将域名证书与中间证书按序拼接为 single PEM 文件（不含根证书），仅用 SSLCertificateFile 指向该 fullchain.pem 即可。
Apache 中 SSLCertificateChainFile 已在 2.4.8+ 版本中彻底废弃，无法用于补全多级 CA 链。这不是配置方式错误，而是该指令已被移除——它的功能已合并进 SSLCertificateFile 的语义中。
你不需要、也不应该再使用 SSLCertificateChainFile，否则 Apache 会直接报错：Invalid command 'SSLCertificateChainFile'
✅ 正确做法：把证书链拼进一个 PEM 文件
多级中间证书（例如：R3 → ISRG Root X1，或 DigiCert TLS RSA SHA256 2020 CA1 → DigiCert Global Root G2）必须与你的域名证书按顺序拼接为单个 .pem 文件：
-
第一部分：你的域名证书（
example.com.crt或cert.pem） -
第二部分：第一级中间证书（如
R3.pem） -
第三部分：第二级中间证书（如
ISRG Root X1.pem），依此类推 - 不包含根证书（根证书由客户端内置，加入反而可能干扰链验证）
执行命令拼接（Linux/macOS）：
cat example.com.crt intermediate1.pem intermediate2.pem > example.com.fullchain.pem
然后在 Apache 配置中只写这一行：
SSLCertificateFile /path/to/example.com.fullchain.pem SSLCertificateKeyFile /path/to/example.com.key
不再需要 SSLCertificateChainFile、SSLCACertificateFile 等旧指令。
⚠️ 常见错误与后果
顺序颠倒（中间证书在前，域名证书在后）
→ 浏览器无法识别服务器身份，提示SSL_ERROR_BAD_CERT_DOMAIN漏掉某一级中间证书
→ Android 7.0 以下、Java 8u141 之前、部分嵌入式设备握手失败把根证书也加进去
→ 不报错，但属于冗余；某些校验工具（如openssl s_client -showcerts）可能误判为异常链
? 验证是否生效
检查本地拼接文件是否有效：
openssl verify -untrusted intermediate1.pem example.com.crt # 应返回：example.com.crt: OK
检查线上实际返回的证书链：
echo Q | openssl s_client -connect example.com:443 -servername example.com 2>/dev/null | openssl x509 -noout -text 2>/dev/null | grep "Subject:"
应看到至少两行输出：一行是你的域名，一行是中间 CA（如 CN = R3），表明链已完整下发。
? Let’s Encrypt 用户特别注意
Certbot 默认生成的 fullchain.pem 就是合规的拼接文件（cert.pem + chain.pem），可直接使用：
SSLCertificateFile /etc/letsencrypt/live/example.com/fullchain.pem SSLCertificateKeyFile /etc/letsencrypt/live/example.com/privkey.pem
无需额外处理，也不建议手动拆分或重拼。
不复杂但容易忽略
