CSR解码器

解码器显示什么

CSR 是一种 ASN.1 结构（PKCS #10）。解码器从中读取两项内容：

• 主体：所请求的区分名称（Distinguished Name）字段，通常包括国家（C）、组织（O）、组织单位（OU）、地区（L）、省/州（ST）和通用名称（CN）。
• 公钥：算法（RSA、EC、DSA）以及以位为单位的密钥大小。

CSR 内部的签名是向 CA 证明提交方持有对应私钥的依据。本解码器不显示该签名；CA 在处理请求时会验证它。

输出示例

对于典型的域名证书请求，输出如下：

Subject: commonName=www.example.com, organizationName=Example Inc., countryName=US
Key bits: 2048
Key type: RSA

主体中属性的确切名称取决于请求的生成方式。

需再次核对的字段

• 通用名称（CN）：应为主主机名。现代浏览器会忽略CN而仅检查SAN标识符，但许多证书颁发机构仍要求提供有效的CN。
• 主题备用名称（SAN）：列出证书将保护的所有主机名及通配符。浏览器会根据SAN而非CN进行匹配。
• 国家/地区(C)：两位字母的ISO代码（如US、GB、DE），而非完整名称。认证机构会拒绝无效代码。
• 密钥长度：RSA 2048为最低标准；3072或4096可提供更高安全性。 ECDSA P-256是现代的理想替代方案，且生成的证书体积更小。
• 签名算法：需使用 SHA-256 或更高版本；SHA-1 已长期被弃用，将不予支持。

关于主题备用名称（SAN）

解码器会显示请求的主体，但不显示 SAN 扩展。浏览器按 SAN 而非 CN 匹配证书；因此如果证书需要覆盖更多主机名，请在生成请求时把它们包含进去，例如：

openssl req -new -newkey rsa:2048 -nodes -keyout example.key -out example.csr -addext "subjectAltName=DNS:example.com,DNS:www.example.com"

解码器无法解析 CSR 时

最常见的原因是 PEM 块被截断或损坏：

• 文本被截断：请重新粘贴完整块，包括两个标记。
• 被插入了换行：请按生成时的原样粘贴。
• 内容错误：误粘贴的公钥、证书或私钥无法作为 CSR 解析。

生成匹配的密钥

CSR 始终与私钥一同生成。典型命令如下：

openssl req -new -newkey rsa:2048 -nodes -keyout example.key -out example.csr

或者 ECDSA ：

openssl req -new -newkey ec:<(openssl ecparam -name prime256v1) -nodes -keyout example.key -out example.csr

妥善保管私钥，若其泄露，证书必须被撤销。