# SSL 证书解析 - X.509 / PEM / CSR 在线查看与证书链校验

> 免费在线解析 SSL/TLS 证书：查看使用者、颁发者、有效期剩余天数、SAN、密钥用途、OCSP/CRL、SCT、SHA-256 指纹，自动关联证书链并校验签名，也支持 CSR 与公私钥。

- 网址: https://qilingtools.com/zh/cert-decoder
- 分类: 开发工具 (https://qilingtools.com/zh/dev)
- 标签: [隐私安全](https://qilingtools.com/zh/tags/privacy), [开发](https://qilingtools.com/zh/tags/dev), [网络 HTTP](https://qilingtools.com/zh/tags/network)
- 最后更新: 2026-10-26
- 价格: 免费，无需注册
- 隐私: 在浏览器本地处理，文件不上传服务器

部署 HTTPS 时经常要确认一张证书到底签给了哪些域名、什么时候过期、中间证书有没有配对、私钥和证书是否匹配。把 PEM 粘贴进来（可以一次粘贴整条证书链），或者拖入 .crt、.cer、.der、.pem、.csr、.key、.p7b 文件，工具会用自带的 ASN.1 DER 解析器逐项解码：使用者与颁发者 DN、序列号、有效期与剩余天数、签名算法、公钥类型与长度（RSA 位数与指数、EC 曲线、Ed25519）、备用名称 SAN、密钥用途与扩展密钥用途、基本约束、SKI/AKI、OCSP 与颁发者证书地址、CRL 分发点、证书策略（DV/OV/EV）、证书透明度 SCT 和 OCSP Must-Staple，并计算 SHA-1/SHA-256 指纹和公钥 Pin。多张证书会按颁发者与使用者名称自动连成链，并用浏览器 WebCrypto 拿上级公钥校验每张证书的签名。CSR（PKCS#10）、PKCS#1/PKCS#8/SEC1 私钥、SPKI 公钥和 PKCS#7 证书包同样能解析；私钥只显示类型和长度，并据此判断与哪张证书匹配，不显示任何秘密数值。还可以切到原始 ASN.1 树查看每个字段的偏移和编码。全部在浏览器本地完成，不上传。

## 使用步骤

1. 粘贴 PEM / Base64 / 十六进制内容，或打开、拖入证书文件
2. 查看每张证书的详细信息、证书链关系和签名校验结果
3. 需要时切换到 ASN.1 结构或 PEM / DER 页签，复制 PEM 或下载 DER

## 功能特点

- 自带 ASN.1 DER 解析器，支持 PEM、Base64、十六进制与二进制 DER
- 使用者 / 颁发者、序列号、有效期剩余天数、签名算法、公钥信息
- SAN、密钥用途、扩展密钥用途、基本约束、SKI / AKI
- OCSP、CA Issuers、CRL 分发点、证书策略、SCT、Must-Staple
- SHA-1 / SHA-256 指纹与公钥 SHA-256 Pin
- 证书链自动关联，WebCrypto 校验 RSA / RSA-PSS / ECDSA / Ed25519 签名
- CSR、PKCS#1 / PKCS#8 / SEC1 私钥、公钥、PKCS#7，私钥与证书匹配检查
- 可折叠的原始 ASN.1 树

## 常见问题

### 怎么判断私钥和证书是否匹配？

把私钥和证书一起粘贴进来即可。工具会从私钥结构中取出（或借助浏览器推导出）对应的公钥，计算公钥的 SHA-256 Pin，再与每张证书、CSR 的公钥对比，匹配的会直接标出“与证书 #1 的公钥匹配”。整个过程只在本地进行，私钥不会显示，也不会上传；用完记得清空输入框。

### 证书链的顺序应该怎么排？

服务器配置的证书链通常按“叶子证书 → 中间证书”排列，根证书一般不需要包含。工具会按颁发者与使用者名称（以及 AKI / SKI）自动找到每张证书的上级，并用上级公钥校验签名；如果粘贴的顺序和签发关系不一致，会给出提示。显示“颁发者不在列表中”说明缺少上级证书，可按“颁发者证书下载”里的地址补齐。

### 支持哪些文件格式？

支持 PEM 文本（BEGIN CERTIFICATE、CERTIFICATE REQUEST、PRIVATE KEY、RSA PRIVATE KEY、EC PRIVATE KEY、PUBLIC KEY、PKCS7 等，可多块混合）、不带头尾的 Base64、十六进制 DER，以及 .der / .cer / .crt 二进制文件和 .p7b 证书包。带密码的加密私钥只显示加密方式（PBES2、PBKDF2 迭代次数、加密算法），不会尝试解密；OpenSSH 格式的密钥需先转换。

### SCT 和 OCSP Must-Staple 是什么？

SCT（签名证书时间戳）证明证书已提交到证书透明度（CT）日志，Chrome、Safari 要求公开信任的证书带有 SCT，工具会列出每个 SCT 的日志 ID 和时间。OCSP Must-Staple（TLS Feature 扩展）要求服务器在握手时附带 OCSP 响应，否则浏览器可以拒绝连接，启用后要确认服务器开启了 OCSP Stapling。

## 相关工具

- [JSON 格式化](https://qilingtools.com/zh/json): 免费在线 JSON 格式化：一键美化、压缩，实时语法校验并定位到出错行列，支持树形视图折叠、键名排序、转义与去转义、Unicode 转中文、复制下载，数据不上传。
- [Base64 编解码](https://qilingtools.com/zh/base64): 免费在线 Base64 编码解码工具：支持中文 UTF-8、URL 安全变体，文本与 Base64 互转，实时转换，本地处理不上传。
- [URL 编解码](https://qilingtools.com/zh/url-encode): 免费在线 URL 编码解码工具：encodeURIComponent 与 encodeURI 两种模式，处理中文、空格与特殊符号，本地实时转换不上传。
- [JWT 解析](https://qilingtools.com/zh/jwt): 免费在线 JWT 解析工具：解码 JWT 的 Header 与 Payload，展示过期时间、签发时间等，本地解析不上传，保护令牌安全。
- [时间戳转换](https://qilingtools.com/zh/timestamp): 免费在线 Unix 时间戳转换工具：时间戳与日期互转，自动识别秒/毫秒，显示本地时间、UTC、ISO 8601 和相对时间，实时更新。
- [哈希计算](https://qilingtools.com/zh/hash): 免费在线哈希/摘要计算工具：对文本或文件计算 SHA-1、SHA-256、SHA-384、SHA-512，使用浏览器加密接口本地完成，文件不上传。
- [UUID 生成](https://qilingtools.com/zh/uuid): 免费在线 UUID 生成器：使用加密安全随机数批量生成符合 RFC 4122 的 UUID v4，可大写、去连字符、加花括号，一键复制。
- [进制转换](https://qilingtools.com/zh/base-convert): 免费在线进制转换工具：二进制、八进制、十进制、十六进制及任意 2–36 进制互转，支持大整数（BigInt），本地实时计算。