Android设备因证书链不完整会报NET::ERR_CERT_AUTHORITY_INVALID或SSL握手失败，核心是服务器须按正确顺序发送域名证书+中间证书（不含根证书）构成的完整链；可通过Chrome证书路径、openssl命令或在线工具验证链完整性，并在Apache中合并证书后配置SSLCertificateFile指向fullchain.crt。
Android 设备对 HTTPS 证书链验证更严格，缺中间证书就会报 NET::ERR_CERT_AUTHORITY_INVALID 或 SSL 握手失败。核心不是“加一个文件”，而是把证书链完整、顺序正确地发给客户端。
确认中间证书确实缺失
先验证问题是否存在：
- 用安卓手机访问你的域名，看是否弹出证书警告；
- 在 Chrome 桌面版点地址栏锁图标 → “连接是安全的” → “证书有效” → 查看“证书路径”，如果只显示一层（只有你的域名证书），没出现“Let’s Encrypt R3”“Sectigo”等中间 CA，就说明链不全；
- 命令行快速检测：
openssl s_client -connect yourdomain.com:443 -showcerts 2>/dev/null | grep "BEGIN CERTIFICATE" | wc -l
输出为 1，代表只返回了域名证书；输出 ≥2 才算链完整。
合并证书生成 fullchain 文件
Apache 2.4.8+ 不再用 SSLCertificateChainFile，必须把域名证书和中间证书合并成一个 PEM 文件，且顺序不能错：
- 第一块：你的域名证书（如
your_domain.crt）； - 第二块：对应的中间证书（从证书商下载，或用 myssl 下载链）；
- 不要包含根证书（如 ISRG Root X1 或 DST Root CA X3），客户端已内置，加了反而可能引发兼容问题；
- 执行合并命令：
cat your_domain.crt intermediate.crt > fullchain.crt
修改 Apache 配置并重启
在虚拟主机的 SSL 配置段中，只保留两行关键配置：
-
SSLCertificateFile /path/to/fullchain.crt（指向合并后的文件）； -
SSLCertificateKeyFile /path/to/your_domain.key（私钥保持不变）； - 删掉或注释掉旧的
SSLCertificateChainFile行； - 重启生效：
sudo systemctl restart apache2（Debian/Ubuntu）或sudo apachectl graceful（CentOS/RHEL）。
验证部署是否成功
重启后立刻验证：
- 再跑一次 OpenSSL 命令，确认输出里有至少两个
CERTIFICATE块； - 用在线工具检查，推荐 SSL Checker 或 DigiCert SSL Tool，输入域名，看 “Certificate Chain” 是否显示 “Complete” 且无警告；
- 用真实安卓机（特别是 Android 7–9 的旧机型）访问，确认不再弹证书错误。
