pfx 文件是否可以包含不属于叶证书路径的证书？

Question

PFX 包含以下类别的证书，它们是叶证书链的一部分。

• 颁发的公共证书（客户端/服务器）
• 中级 CA 证书
• 根 CA 证书
• 私钥

它可以拥有不属于链的证书吗？

Answer 1

是的，PFX/PKCS#12 结构中没有任何固有的东西要求任何证书与任何其他证书相关。

.NET Core 有明确的测试，以确保它可以创建“非链”PFX 并将它们读回：

• ExportUnrelatedPfx：三个 EE/叶子证书，没有私钥。写，读回来。
• ExportMultiplePrivateKeys：两个 EE/leaf 证书，每个都有私钥。写，读回来。

PFX 只是：

• 一些加密证书
• 一些加密私钥
• 一些未加密的证书
• 一些未加密的私钥

（通常没有任何未加密的，但规范允许。）

每个证书和私钥都有一个标签来帮助它们重新配对，以减少公钥/私钥匹配的组合逻辑。