NET::ERR_CERT_AUTHORITY_INVALID错误主因是证书链不完整，表现为浏览器控制台报“证书不受信任”，OpenSSL验证仅显示一个证书或含已过期DST Root CA X3，Apache未正确配置fullchain.pem，SSL Labs报告提示“Certificate chain is incomplete”。
看浏览器控制台有没有“证书不受信任”提示
打开 chrome 或 edge，访问你的 https 网站，按 f12 打开开发者工具，切换到 console 或 security 标签页。如果出现 net::err_cert_authority_invalid、sec_error_unknown_issuer（firefox）或类似提示，大概率是证书链不完整。手机端尤其敏感——pc 上可能正常，安卓微信 webview 或部分国产浏览器却白屏或直接拦截，这正是中间证书缺失的典型表现。
用 OpenSSL 命令直连验证证书链
在服务器或本地终端执行：
openssl s_client -connect yourdomain.com:443 -showcerts
观察输出结果中是否包含至少两个证书块（一个是你自己的域名证书，另一个是中间证书），并检查最后一段证书的颁发者（Issuer）是否指向知名根 CA（如 Let’s Encrypt、Sectigo、DigiCert）。如果只看到一个证书，或者最后一段显示 “Issuer: CN = DST Root CA X3”，说明链已断裂——DST Root CA X3 已于 2024 年 9 月过期，必须替换为 ISRG Root X1 或更新链。
检查 Apache 配置是否加载了中间证书
Apache 必须显式指定中间证书路径，不能只放域名证书（.crt）和私钥（.key）。确认虚拟主机配置中包含以下三行：
Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。
-
SSLCertificateFile：你的域名证书（如
yourdomain.crt） -
SSLCertificateKeyFile：对应私钥（如
yourdomain.key） -
SSLCertificateChainFile：中间证书文件（如
yourdomain.ca-bundle或fullchain.pem）
注意：SSLCertificateChainFile 在较新版本 Apache（2.4.8+）中已被弃用，推荐改用 SSLCertificateFile 直接指向合并后的 fullchain.pem（即域名证书 + 中间证书拼接体），否则会忽略链。
用在线工具交叉验证
访问 SSL Labs SSL Server Test（ssllabs.com/ssltest）或 SSL Checker（sslchecker.com），输入你的域名。重点看报告中的 “Certificate Chain” 部分：
- 若提示 Certificate chain is incomplete，说明服务器未发送中间证书
- 若提示 Root certificate is not trusted，说明链末端不是系统预装的可信根
- 若显示 “Extra download” 或 “Self-signed certificate in chain”，说明链顺序错乱或混入了不该有的证书
修复后务必重启 Apache：sudo systemctl restart apache2（Debian/Ubuntu）或 sudo apachectl graceful（确保新证书载入内存）。
