安卓/ios访问java应用（如tomcat）经apache反向代理的https站点报证书无效，主因是ssl证书链缺失中级证书；需将域名证书与中级证书合并为fullchain.crt并配置sslcertificatefile，let’s encrypt用户须用fullchain.pem而非cert.pem。

Java应用（如Tomcat）使用Apache作为反向代理时，若SSL证书链中缺少中级证书（Intermediate Certificate），安卓或iOS设备访问常报“证书无效”“NET::ERR_CERT_AUTHORITY_INVALID”等错误。这是因为移动端证书验证比PC端更严格，必须提供完整证书链（根证书+中级证书+域名证书），而服务器未正确配置中级证书会导致链断裂。

确认是否缺失中级证书

用浏览器访问站点，点击地址栏锁图标 → 查看证书 → 详细信息 → 证书层次结构。正常应显示三层：根证书（Root CA）、中级证书（Intermediate CA）、你的域名证书。若只看到域名证书一层，或提示“此证书未由受信任的机构颁发”，基本可判定中级证书未部署。

也可用命令行快速检测：

openssl s_client -connect yourdomain.com:443 -showcerts

输出中若只有1个CERTIFICATE块（即仅域名证书），说明中间链未返回；若有2–3个块，且第二个是知名CA（如Sectigo、DigiCert、Let’s Encrypt R3/R4），则链完整。

在Apache中补全证书链

Apache需将域名证书与中级证书合并为一个PEM文件（顺序必须是：域名证书 → 中级证书 → [可选：根证书，通常不建议包含]）。不要合并根证书，因客户端已内置，加入反而可能引发兼容问题。

• 将下载的中级证书（如 intermediate.crt 或 ca-bundle.crt）内容追加到域名证书文件末尾：
  cat your_domain.crt intermediate.crt > fullchain.crt
• 在Apache虚拟主机配置中，确保使用该合并后的文件：
  

  SSLCertificateFile /path/to/fullchain.crt<br>SSLCertificateKeyFile /path/to/your_domain.key

  
  （注意：无需再设 SSLCertificateChainFile，该指令在Apache 2.4.8+已弃用）
• 重启Apache：
  sudo systemctl restart apache2（Debian/Ubuntu）或
  sudo apachectl graceful

验证链是否生效

重启后再次执行OpenSSL命令，确认输出中出现两个以上CERTIFICATE块，且第二块签发者（issuer）与第一块使用者（subject）匹配。

还可使用在线工具验证，例如：

• SSL Checker（输入域名，查看“Certificate Chain”是否完整）
• DigiCert SSL Installation Diagnostics Tool

若显示“Chain issues: None”，且所有主流安卓/iOS机型均可正常访问，即表示问题已解决。

补充说明（Let’s Encrypt用户特别注意）

使用Certbot自动续期时，默认生成的 fullchain.pem 已含域名证书+中级证书（如R3），应直接使用它，而非单独的 cert.pem：

• ✅ 正确：
  SSLCertificateFile /etc/letsencrypt/live/yourdomain.com/fullchain.pem
• ❌ 错误（导致链缺失）：
  SSLCertificateFile /etc/letsencrypt/live/yourdomain.com/cert.pem

检查配置中是否误用了 cert.pem，替换为 fullchain.pem 并重载即可。

Java免费学习笔记：立即使用
解锁 Java 大师之旅：从入门到精通的终极指南