直接用 openssl s_client 连接反代服务器并管道解析可在线验证证书状态：1. 用 -dates 检查有效期；2. 用 verify -CAfile 验证证书链可信性；3. 用 ocsp 命令查吊销状态；4. 用 -text | grep SAN 确认域名匹配。
直接用 openssl s_client 连接反代服务器，再配合管道解析，就能在线验证证书状态，无需提前下载证书文件。
检查证书有效期和基础有效性
运行以下命令可快速确认证书是否在有效期内：
openssl s_client -connect your-proxy-domain.com:443 -servername your-proxy-domain.com < /dev/null 2>/dev/null | openssl x509 -noout -dates
输出类似：
notBefore=May 10 00:00:00 2025 GMT<br>notAfter=Aug 8 23:59:59 2026 GMT
只要当前时间落在这个区间内，就通过了最基本的有效期校验。
验证证书链是否可信
仅看有效期不够，还需确认整条链能被系统信任。需准备一个本地的 CA 信任包（如 ca-bundle.crt），然后执行：
openssl s_client -connect your-proxy-domain.com:443 -servername your-proxy-domain.com < /dev/null 2>/dev/null | \ openssl x509 -outform PEM > /tmp/proxy_cert.pem<br>openssl verify -CAfile /path/to/ca-bundle.crt /tmp/proxy_cert.pem
若返回 /tmp/proxy_cert.pem: OK，说明证书由可信根签发；否则会提示具体错误（如“unable to get issuer certificate”）。
检查 OCSP 在线吊销状态
部分高安全场景需确认证书未被主动吊销。先提取证书和 issuer：
openssl s_client -connect your-proxy-domain.com:443 -servername your-proxy-domain.com < /dev/null 2>/dev/null | \ openssl x509 -outform PEM > /tmp/cert.pem<br>openssl x509 -in /tmp/cert.pem -issuer -noout > /tmp/issuer.pem
再用 OCSP 查询（需证书含有效 OCSP Responder 地址）：
openssl ocsp -issuer /tmp/issuer.pem -cert /tmp/cert.pem -text -resp_text 2>/dev/null | \ grep -E "(Status|This Update|Next Update)"
理想输出中应含 Status: successful 和 cert status: good。
确认域名匹配与 SAN 支持
反代常需支持多个域名，验证证书是否覆盖目标主机名：
openssl s_client -connect your-proxy-domain.com:443 -servername your-proxy-domain.com < /dev/null 2>/dev/null | \ openssl x509 -noout -text | grep -A1 "Subject Alternative Name"
确保输出中包含你实际访问的域名（如 DNS:your-proxy-domain.com 或通配符 DNS:*.example.com）。
