证书链不完整是服务器未在TLS握手时发送完整证书链所致，需用openssl s_client命令验证输出中BEGIN CERTIFICATE块数量是否≥2，且顺序为域名证书后紧跟中间证书、无空行无私钥无根证书。
证书链不完整不是服务器“坏了”，而是它在 TLS 握手时没把该发的证书全发出去。排查核心就一条：确认服务器是否主动发送了完整的证书链（至少含域名证书 + 一个中间证书），而不是指望客户端自己补全。
用 openssl 快速验证链是否发出
在服务器本地执行：
openssl s_client -connect yourdomain.com:443 -servername yourdomain.com -showcerts 2>/dev/null | grep "BEGIN CERTIFICATE" | wc -l
输出数字 ≥ 2 才算正常。如果只有 1，说明只发了域名证书；如果 ≥ 2 但第二段显示 self signed certificate，大概率是误把根证书当成了中间证书塞进去了。
检查 Nginx 或 Apache 配置是否真正用了完整链
Nginx 要求：
• ssl_certificate 必须指向包含域名证书 + 中间证书的 fullchain.pem（不能只用 domain.crt）
• ssl_certificate_key 仍单独指向私钥文件（.key），不可混入证书文件
• Apache 则需同时配置：
SSLCertificateFile /path/to/domain.crt
SSLCertificateChainFile /path/to/intermediate.crt
确认证书文件内容是否合规
打开你配置中引用的证书文件（如 fullchain.pem），检查：
• 是否严格按顺序排列：先域名证书，再中间证书（多个中间证书需按签发层级从前到后）
• 两段之间**无空行、无多余空格、无私钥内容、无根证书**
• 所有 BEGIN/END 行完整，编码为 UTF-8 无 BOM（避免用 Windows 记事本保存）
排除客户端或中间设备干扰
同一域名，在你本地浏览器正常，但用户报错？别急着改服务器：
• 让对方提供错误截图或具体提示（如 NET::ERR_CERT_DATE_INVALID 是设备时间不准）
• 旧系统（Windows 7 / iOS 12 以下）或企业网络（带 SSL 解密的防火墙、代理）常无法自动补全缺失的中间证书
• 用 SSL Labs 测试页 扫描，看 “Certificate Paths” 是否标绿且注明 “Chain issues: None”
