x509 证书中主题属性的顺序

Question

是否必须指定主题属性 - C、ST、L、O、OU、CN 的特定顺序。openssl 似乎没有强制执行命令。

在生成专有名称时，我们是否会选择证书中配置的所有主题属性？属性的顺序重要吗？

Answer 1

是否有特定的顺序来指定主题属性 - C、ST、L、O、OU、CN。

据我所知，没有指定顺序。将使用您指定的顺序，并按此顺序在 PKCS#10 请求中生成 DN。

在生成可分辨名称时，我们是否会获取证书中配置的所有主题属性？

CA 在颁发证书时可能（并且很可能会）使用 PKCS#10 请求中的 DN，但它可以决定不同的顺序。在颁发 SSL 服务器证书时，某些 RDN（相对可分辨名称）可以移动到扩展名，即 emailAddress 或复制到 CN 到SubjectAlternativeName 等扩展名。

属性的顺序重要吗？

恕我直言，订购并不重要。这对于某些使用证书的应用程序可能很重要，但一般来说顺序并不重要。

Answer 2

理论上，这并不重要，但在实践中，如果父证书主题中的令牌顺序与子证书中的发行者字段中的令牌顺序不同，某些加密库将无法构建链。如果您不想出现任何奇怪的问题，它们应该完全相同。

例如，如果主题/发行者字段中的令牌顺序不同，即使 Windows 10 工具 (mmc) 也无法正确显示链。