验证SSL证书指纹需比对公钥SHA-256哈希值，用OpenSSL从证书和私钥分别提取公钥并计算指纹，二者一致才证明配对；还可检查有效期、签发者、SAN及Java truststore中证书指纹。
验证 SSL 证书指纹，核心是比对证书公钥的哈希值，而不是证书文件本身或私钥内容。Apache 不提供内置命令直接输出指纹，必须借助 OpenSSL 工具提取并计算——这是判断证书是否真实、未被篡改、且与私钥配对的最可靠方式。
提取证书公钥指纹（SHA-256）
从 PEM 格式证书（如 server.crt）中提取公钥，并计算其 SHA-256 指纹：
openssl x509 -in server.crt -noout -pubkey | openssl rsa -pubin -outform der 2>/dev/null | openssl dgst -sha256
注意：若证书含完整链（含中间 CA），需先分离出服务器证书（即第一个 BEGIN CERTIFICATE 到对应 END CERTIFICATE 的部分），否则指纹会不一致。
提取私钥对应公钥指纹
从私钥（如 server.key）推导出公钥，并计算相同算法的指纹：
- 无密码私钥：
openssl rsa -in server.key -noout -pubkey | openssl rsa -pubin -outform der 2>/dev/null | openssl dgst -sha256 - 有密码私钥：加
-passin pass:yourpassword，例如openssl rsa -in server.key -passin pass:123456 -noout -pubkey | openssl rsa -pubin -outform der 2>/dev/null | openssl dgst -sha256
两个命令输出的十六进制哈希值必须完全一致，才说明该私钥与证书真正配对。
Apache Superset Dashboard and SQL Exploration Skill
下载
Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。
快速检查证书有效期与签发信息
指纹验证之外，常需确认证书基础状态：
- 查看有效期：
openssl x509 -in server.crt -noout -dates - 查看签发者和主体：
openssl x509 -in server.crt -noout -issuer -subject - 查看 SAN（域名列表）：
openssl x509 -in server.crt -noout -ext subjectAltName
这些信息可辅助排查浏览器提示“证书不受信任”或“域名不匹配”等问题。
用 keytool 查看 Java 导入证书的指纹（适用于 Java 客户端场景）
若证书已导入 Java truststore（如 cacerts），可用 keytool 验证其指纹：
keytool -list -v -keystore $JAVA_HOME/jre/lib/security/cacerts -alias your_alias- 输出中会包含 Certificate fingerprints，含 MD5、SHA-1、SHA-256 等——比对 SHA-256 值是否与 OpenSSL 输出一致即可。
注意：keytool 默认使用 SHA-256，但显示格式为带冒号分隔的大写十六进制，OpenSSL 输出为无分隔小写；比对前建议统一格式或用脚本清洗。
