Apache 2.4.8+已移除SSLCertificateChainFile，须将域名证书与中间证书按信任顺序拼接至SSLCertificateFile指定的PEM文件中，根证书不可加入，Let’s Encrypt用户直接使用fullchain.pem。
在 Apache 2.4.8 及更高版本中，SSLCertificateChainFile 指令已被彻底移除，不再可用。试图配置它会导致 Apache 启动失败，报错 Invalid command 'SSLCertificateChainFile'。所以，**不能也不应该再用这个指令来补全多级 CA 证书链**——正确做法是合并证书链到 SSLCertificateFile 所指向的单一 PEM 文件中。
为什么 SSLCertificateChainFile 被废弃
Apache 团队将证书链逻辑统一收归至 SSLCertificateFile：服务器证书与中间证书必须按信任路径顺序拼接在同一文件里，由服务器在 TLS 握手时一次性发送给客户端。客户端自行选择可验证的路径（例如现代系统走 ISRG Root X1，旧 Android 走 DST Root CA X3），无需服务端“指定多条链”。
如何正确补全多级中间证书链
假设你有以下文件：
-
example.com.crt：你的域名证书 -
intermediate1.crt：一级中间证书（如 Let’s Encrypt R3） -
intermediate2.crt：二级中间证书（如 ISRG Root X1）
执行拼接（顺序严格不可颠倒）：
cat example.com.crt intermediate1.crt intermediate2.crt > example.com.fullchain.pem
然后在虚拟主机配置中只保留这一行：
SSLCertificateFile /path/to/example.com.fullchain.pem
注意：根证书（如 DST Root CA X3 或 ISRG Root X1 的根）不要加入该文件——浏览器已内置，加入反而可能干扰链验证。
验证链是否真正完整
运行以下命令检查本地链构建是否成功：
openssl verify -untrusted <(cat intermediate1.crt intermediate2.crt) example.com.crt
应返回 example.com.crt: OK。
再模拟真实握手，查看服务器实际发送了哪些证书：
echo Q | openssl s_client -connect example.com:443 -servername example.com 2>/dev/null | openssl crl2pkcs7 -nocrl | openssl pkcs7 -print_certs -noout
输出中应至少包含两段 BEGIN CERTIFICATE —— 一段是你的域名证书，一段是中间证书（或两段中间证书）。
Let’s Encrypt 用户直接用 fullchain.pem
Certbot 自动生成的 fullchain.pem 就是已拼接好的完整链（cert.pem + chain.pem）。你只需在配置中写：
SSLCertificateFile /etc/letsencrypt/live/example.com/fullchain.pem
SSLCertificateKeyFile /etc/letsencrypt/live/example.com/privkey.pem
其余所有证书相关指令（SSLCertificateChainFile、SSLCACertificateFile 等）全部删除，不写、不注释、不留空行。
