網頁憑證信任圖解：TLS 握手、憑證鏈、Trust Store 到 openssl 排錯

Sun, 01 Nov 2026 00:00:00 +0800

在瀏覽器打開網站一切正常，同一個網址換成 mvn、curl、docker build 或 Spring Boot 的 RestClient 卻跳出 PKIX path building failed、self signed certificate in certificate chain。遇到這種狀況，很多人會加 -k、關掉驗證，或者到處亂 import 憑證，然後問題就這樣過去了，下次再碰到還是不知道原因。

這篇把「憑證為什麼被信任」從頭拆一次，依序講 9 個主題。每一節的格式都一樣：

白話版：先用一個生活比喻建立直覺
動態圖：點圖可以開原尺寸（手機上建議點開看）
工程師版：欄位、規則、實測輸出
常見誤解與踩坑

最後是兩個實戰案例（公司防火牆 SSL inspection、自建內部 CA）和一張速查表。

實測環境：macOS、OpenSSL 4.1.0（Homebrew）、macOS 內建 curl 8.7.1（LibreSSL）、Amazon Corretto 21（keytool、java.net.http.HttpClient），測試站台用 github.com 與 badssl.com。指令輸出都是實際跑出來的結果，原樣貼在 # 註解或輸出區塊。Dockerfile、Spring Boot 設定、Keychain 匯出、Windows 相關的內容是依官方文件撰寫的，沒有在本機實跑，文中會標註。

打開 https://github.com 時，依序發生了什麼

先看全貌。9 個主題其實是同一件事的不同步驟：

openssl — 憑證、加密與 TLS 除錯命令列指南

Sun, 23 Aug 2026 00:00:00 +0800

macOS 上有兩套 openssl 可能同時存在，指令語法看起來一樣，但底層實作不同、行為也會有差異，先搞清楚自己在用哪一套，後面踩坑機率會少很多。

macOS LibreSSL vs Homebrew OpenSSL

macOS 內建的 /usr/bin/openssl 其實不是正牌 OpenSSL，而是 LibreSSL（OpenSSL 的 fork）：

1
2

/usr/bin/openssl version
# LibreSSL 3.3.6

透過 Homebrew 安裝的才是正牌 OpenSSL：

brew install openssl@3

/opt/homebrew/bin/openssl version
# OpenSSL 3.6.3 9 Jun 2026 (Library: OpenSSL 3.6.3 9 Jun 2026)

Homebrew 預設不會 link openssl@3（避免覆蓋系統版本），所以裝完之後單純打 openssl 很可能還是吃到 /usr/bin/openssl（LibreSSL）。確認目前 PATH 解析到哪一個：

which -a openssl
# /opt/homebrew/bin/openssl   <- 如果 Homebrew bin 在 PATH 前面，這行會排第一個
# /usr/bin/openssl

openssl version   # 實際會執行到的那個

如果 which openssl 解析到的不是想要的版本，把 Homebrew 版加進 PATH（放前面）：

OpenSSL on Bill.Lin's Notes

網頁憑證信任圖解：TLS 握手、憑證鏈、Trust Store 到 openssl 排錯

目錄

打開 https://github.com 時，依序發生了什麼

openssl — 憑證、加密與 TLS 除錯命令列指南

macOS LibreSSL vs Homebrew OpenSSL