Go x509 如何限制证书链必须满足指定策略 OID

如果一条证书链只能用于某个业务策略，单纯检查签名、有效期和 EKU 还不够。Go 1.24 及以上版本可以在 x509.Certificate.Verify 时填写 VerifyOptions.CertificatePolicies，让验证器只接受策略图中能够满足指定 OID 的链；空字段则表示不限制策略。

官方文档：https://pkg.go.dev/crypto/x509

一、先分清策略 OID 和证书用途

我第一次接这个需求时，最容易写错的是把策略 OID 放进 KeyUsages。两者解决的问题不同：EKU 说明证书能否用于服务器认证、客户端认证等用途；策略 OID 更像证书签发体系里的业务规则，例如某一类设备、租户或合规域只能沿着指定策略链验证。

本题的边界是“证书路径是否满足策略”，因此入口应是 CertificatePolicies。如果还要限制域名、EKU 或密钥用途，继续在同一个 VerifyOptions 中配置，但不要用其中一个字段替代另一个字段。

二、用 CertificatePolicies 声明允许的策略

OID 可以从点分十进制字符串解析，也可以从整数切片构造。业务配置通常来自文本，因此用 ParseOID 更直观；解析失败必须在开始验证前返回，不能把一个空 OID 当成“不过滤”。

policy, err := x509.ParseOID("1.2.3.4.5")
if err != nil { // 配置不是合法的点分十进制 OID，先终止验证。
	return fmt.Errorf("解析证书策略 OID: %w", err)
}

chains, err := leaf.Verify(x509.VerifyOptions{
	Roots:               roots,
	Intermediates:       intermediates,
	KeyUsages:           []x509.ExtKeyUsage{x509.ExtKeyUsageAny}, // 只演示策略，避免 EKU 成为干扰项。
	CertificatePolicies: []x509.OID{policy},
})
if err != nil { // 错误表示没有可用的完整链，不要只打印“证书无效”。
	return fmt.Errorf("证书链不满足策略 %s: %w", policy, err)
}

return useVerifiedChain(chains[0]) // 只有 Verify 成功后才把链交给业务层。

这里的 ExtKeyUsageAny 只是为了把示例焦点放在策略上。真实服务仍应填写准确的 EKU。CertificatePolicies 放入多个 OID 时，应把它理解为允许集合；最终是否通过，取决于整条路径形成的策略关系，而不是某一张证书恰好出现一个字符串。

三、为什么“叶子证书有 OID”仍可能失败

策略验证不是逐张证书做字符串包含判断。Go 会依据 RFC 5280 与 RFC 9618 的规则构建策略图，沿叶子、中间 CA 到信任锚检查有效策略。中间证书缺少所需策略、策略被限制、映射后的策略不再可达，都会让候选链被淘汰。

还要特别留意 anyPolicy：它不是让所有业务策略永远无条件通过的万能开关。路径上的约束和策略处理规则仍然生效。相反，如果你的代码把 CertificatePolicies 留空，含义是接受任意有效策略，不是“要求证书必须带策略”。

四、把排查结果落到每张证书

遇到“明明看到了这个 OID 仍然失败”时，先把验证候选链中的策略打印出来，再看返回的错误类型。下面的记录代码只负责解释证据，不替代 Verify。

func dumpPolicies(chain []*x509.Certificate) {
	for i, cert := range chain {
		fmt.Printf("chain[%d] subject=%q policies=", i, cert.Subject.CommonName)
		for j, oid := range cert.Policies {
			if j > 0 { // 多个 OID 用逗号分隔，便于日志检索。
				fmt.Print(",")
			}
			fmt.Print(oid.String())
		}
		fmt.Println()
	}
}

生产日志不要输出私钥、完整 PEM 或不必要的主体信息，只保留链位置、策略 OID 和可关联的验证请求编号。若运行环境低于 Go 1.24，不能假设 VerifyOptions 已提供策略校验；升级后还要用包含策略扩展的测试链做回归。

相关问题

CertificatePolicies 为空是不是拒绝所有策略？

不是。空字段表示任意有效策略都可以接受；要收紧策略，必须传入至少一个目标 OID。

策略校验成功后还需要做吊销检查吗？

需要。Certificate.Verify 的策略判断、签名路径和有效期检查，不等同于 CRL 或 OCSP 吊销状态检查。