最可靠验证方式是用openssl s_client模拟客户端握手：执行openssl s_client -connect yourdomain.com:443 -servername yourdomain.com -showcerts 2>/dev/null，检查输出是否含至少两段BEGIN CERTIFICATE——首段为域名证书，次段起为中间证书；若仅一段则链不完整；再将证书拼为fullchain.pem并用openssl verify -CAfile /etc/ssl/certs/ca-bundle.crt fullchain.pem验证信任链；最后用openssl x509和openssl rsa分别提取cert.pem与key.pem的modulus并md5比对，二者必须完全一致。
直接用 openssl 命令模拟客户端握手，是最可靠、最贴近真实访问的验证方式。
用 openssl s_client 抓取服务器实际发送的证书链
执行以下命令（把 yourdomain.com 换成你的域名）：
openssl s_client -connect yourdomain.com:443 -servername yourdomain.com -showcerts 2>/dev/null
关键看输出中是否包含至少两段以 -----BEGIN CERTIFICATE----- 开头的内容：
- 第一段是你域名的证书（leaf certificate）
- 第二段起必须是中间证书（如 R3、ISRG Root X1 的上级等）
- 如果只有一段，说明 Apache 根本没把中间证书发出去，链不完整
配合 verify 命令检查链能否被系统信任
把服务器返回的所有证书（包括中间证书）拼成一个文件（比如 fullchain.pem），再用 verify 验证：
openssl verify -CAfile /etc/ssl/certs/ca-bundle.crt fullchain.pem
Apache Superset Dashboard and SQL Exploration Skill
下载
Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。
正常应输出：fullchain.pem: OK。若报错如 unable to get issuer certificate，说明链缺环节或顺序错。
快速确认证书和私钥是否匹配
即使链看起来完整，私钥不匹配也会导致握手失败。运行两行命令比对模数：
openssl x509 -noout -modulus -in cert.pem | openssl md5
openssl rsa -noout -modulus -in key.pem | openssl md5
两个输出必须完全一致，否则 Apache 启动时可能报 AH02572 或握手失败。
