Go crypto/x509.CertPool Subjects 怎样检查证书池内容

Go 里检查 crypto/x509.CertPool 内容时，Subjects() 能告诉你证书池里有哪些证书主题，但它返回的不是完整证书，也不是“系统根证书总数”。更准确地说，它返回每张证书的 DER 编码主题；如果证书池来自 SystemCertPool，官方文档还特别说明，系统根不一定出现在这个返回值里。

官方文档：https://pkg.go.dev/crypto/x509#CertPool.Subjects

排查时先回答三个问题：池对象是否为空、Subjects 是否有条目、每个条目是否能按 X.509 Name 结构解析。不要因为 Subjects 为空就直接断言 TLS 验证一定没有系统根。

先把三种“为空”分开

证书池排查最容易误判的地方，是把不同层次的空值当成同一个原因。CertPool 指针为空、Subjects() 返回空切片，以及某个 DER 主题解析失败，分别对应对象、集合和数据格式三个层次。

Subjects 返回的到底是什么

官方定义是“证书池中所有证书的 DER 编码主题列表”。它对应证书的 RawSubject，只包含 Subject 这一段 ASN.1 DER 数据，不包含证书签名、有效期、SAN、私钥或完整的证书链。Go 源码中的实现也直接遍历池内证书元数据并返回每个 rawSubject。

因此，Subjects() 适合做“池里是否出现某类主题”的轻量检查，不适合回答“这张证书是否能验证某个域名”。域名匹配、有效期、密钥用途和信任链仍然属于 Certificate.Verify 等验证逻辑。

把 DER 主题转换成可读名称

如果只打印字节切片，日志通常难以阅读。可以使用 encoding/asn1 把 DER 主题解码成 pkix.RDNSequence，再填充到 pkix.Name。下面的函数只负责解释 Subjects 条目，不会把主题当成完整证书。

package main

import (
    "crypto/x509/pkix"
    "encoding/asn1"
    "fmt"
)

// subjectText 将 CertPool.Subjects 返回的单条 DER 主题转换为可读名称。
func subjectText(der []byte) (string, error) {
    // RawSubject 是 X.509 Name 的 DER 编码，不是完整证书 DER。
    var sequence pkix.RDNSequence
    rest, err := asn1.Unmarshal(der, &sequence)
    if err != nil {
        return "", fmt.Errorf("解析 Subject DER 失败: %w", err)
    }
    // 还有未消费字节时，说明输入与预期的 Name 结构不完全一致。
    if len(rest) != 0 {
        return "", fmt.Errorf("Subject DER 存在未消费字节: %d", len(rest))
    }
    var name pkix.Name
    name.FillFromRDNSequence(&sequence)
    return name.String(), nil
}

这段代码的检查对象是主题名称。即使它成功解析，也只能说明条目的编码符合预期；它不代表证书有效、证书链完整，或某个 HTTPS 主机名一定能通过校验。

用 Subjects 记录一份可比较的检查证据

排查时建议记录主题数量、解析成功数和解析失败数，而不是把所有 DER 原文写进普通日志。主题数量只能反映当前接口能看到的条目数量，不能作为跨平台的系统根总数。对相同输入做前后比较时，还应保留来源、加载动作和错误信息。

package main

import (
    "crypto/x509"
    "log"
)

// inspectPool 汇总证书池的可见主题，避免把 Subjects 当作验证接口。
func inspectPool(pool *x509.CertPool) {
    // nil 池先单独记录，避免把对象缺失和空集合混在一起。
    if pool == nil {
        log.Printf("cert pool: nil")
        return
    }
    subjects := pool.Subjects()
    parsed, failed := 0, 0
    for _, der := range subjects {
        // 这里只做主题结构检查；实际项目可调用 subjectText 获取名称。
        if _, err := subjectText(der); err != nil {
            failed++
            continue
        }
        parsed++
    }
    log.Printf("cert pool subjects: total=%d parsed=%d failed=%d", len(subjects), parsed, failed)
}

如果日志显示条目存在但解析失败，先检查是否把其他 DER 数据误传给了检查函数。如果条目数量是零，再回到池的构造和加载路径，而不要马上修改 TLS 的验证开关。

SystemCertPool 为什么可能看不到系统根

SystemCertPool() 返回的是系统证书池的副本，修改这个副本不会写回系统，也不会影响之后取得的其他池。更重要的是，官方文档明确标注：如果池来自 SystemCertPool，Subjects() 不会包含系统根。

这意味着下面两句话不能互换：

• “Subjects 返回的主题集合里没有某个系统根。”
• “TLS 验证时绝对没有使用系统根。”

前一句只描述一个已标注限制下的观察结果，后一句涉及完整的验证路径。若问题是系统证书加载失败，应记录 SystemCertPool() 的错误、平台和相关环境配置，再用实际验证结果判断，而不是用 Subjects() 代替验证。

用添加、克隆和比较动作做反向检查

要确认检查逻辑本身是否工作，可以构造一个独立的空池，向其中追加已知 PEM 证书，再观察 Subjects() 是否出现条目。AppendCertsFromPEM 返回一个布尔值，表示是否成功解析并追加了证书；这个返回值应与主题数量一起记录。

package main

import (
    "crypto/x509"
    "fmt"
)

// appendAndInspect 用一个独立池验证“追加动作 -> 可见主题”的关系。
func appendAndInspect(pemBytes []byte) error {
    pool := x509.NewCertPool()
    // ok 只表示至少有证书被成功解析并追加，不代表证书链已经可信。
    if ok := pool.AppendCertsFromPEM(pemBytes); !ok {
        return fmt.Errorf("PEM 中没有成功追加证书")
    }
    // Subjects 的结果用于内容检查，不能替代 Certificate.Verify。
    if len(pool.Subjects()) == 0 {
        return fmt.Errorf("追加成功后没有可见主题")
    }
    return nil
}

如果需要比较修改前后的池，可以使用 Clone() 保存一个副本，再用 Equal() 判断两者是否包含相同的证书集合。不要用主题数量代替集合比较，因为不同证书可能共享相同的主题名称。

排查清单：什么时候该停在 Subjects 这一步

1. 先确认 CertPool 指针是否为空，再读取 Subjects()。
2. 把返回值当作 DER 编码的 RawSubject，不要当成完整证书。
3. 记录总条目、解析成功和解析失败数量，避免只打印原始字节。
4. 如果池来自 SystemCertPool，不要用 Subjects 推断系统根是否参与验证。
5. 需要判断证书可信、主机名或有效期时，转向证书解析和验证接口。
6. 需要验证加载动作时，同时保留 AppendCertsFromPEM 的返回值和来源错误。

常见问题

Subjects 返回的字节能直接转成字符串吗？

不建议。它是 DER 编码的 X.509 Name，应先按 ASN.1 结构解析，再转换为可读名称；直接转字符串可能包含不可见字节，也无法表达解析是否完整。

Subjects 为空是不是证书池没有证书？

不能直接这么判断。对普通新建池，空结果通常提示还没有追加证书；但对 SystemCertPool，官方已说明系统根不一定进入 Subjects 返回值，还要结合加载错误和实际验证路径判断。

Subjects 能判断证书是否过期吗？

不能。Subject 不包含完整有效期和签名信息，过期判断应针对解析后的 Certificate 使用验证相关字段或方法。

为什么主题数量不能作为证书数量的通用指标？

它只反映当前 CertPool 和当前接口的可见条目；系统池有特殊可见性说明，另外相同主题也不等于相同证书。

正确使用 Subjects() 的关键，是把它定位为“证书池内容观察接口”：先确认池对象，再理解 DER 主题，再区分普通池和系统池边界。需要信任判断时，仍然要回到完整证书、证书链和验证结果。