OpenSSL 报错 "ASN1_CHECK_TLEN: wrong tag" 怎么解决
ASN.1 wrong tag 表示解析器读到不符合预期类型的编码。优先核对证书、私钥、CSR 与 PEM/DER 格式，再排查截断或损坏；普通空行或 CRLF 通常不是原因。
一句话回答：ASN1_CHECK_TLEN: wrong tag 表示 ASN.1 解析器读到不符合预期类型的标签，不能仅凭它断定文件损坏。先确认传入的是证书、私钥还是 CSR，以及 PEM/DER 编码是否与命令匹配；文件截断、错误拼接或不可见字符也可能有影响。PEM 允许常见换行和空白，CRLF 本身并非错误证据。
排查步骤
1. 检查证书文件格式
PEM 证书必须严格形如：
-----BEGIN CERTIFICATE-----
MIIDXTCCAkWgAwIBAgIJAKoK/heBjcOuMA0GCSqGSIb3...
（示意 Base64 内容，不是可用证书）
-----END CERTIFICATE-----
先保留原文件，不要盲目修改 Base64。检查 BEGIN/END 标签及来源，并识别是否误拿私钥、CSR、PKCS#7 或 PKCS#12 文件：
# 只看文件类型和块标签，不打印私钥内容
file server.crt
grep '^-----BEGIN ' server.crt
2. 确认放对了文件
检查 Apache 配置，常见错误是把私钥或 CA bundle 指给了证书指令：
SSLCertificateFile /etc/ssl/certs/server.crt # 站点证书（或 fullchain）
SSLCertificateKeyFile /etc/ssl/private/server.key # 私钥
SSLCertificateChainFile /etc/ssl/certs/chain.crt # 中间证书（新版可并入上者）
3. 用 OpenSSL 验证文件本身
openssl x509 -in server.crt -text -noout # 能正常打印证书信息 = 文件 OK
openssl pkey -in server.key -check -noout # 验证私钥
解析成功只证明格式可读，不证明证书受信任或与私钥匹配；解析失败也可能只是命令选错了对象类型/编码。
4. 格式混淆：DER vs PEM
如果证书是二进制 DER 格式（file server.crt 显示 data 而非 ASCII），先转换：
openssl x509 -inform DER -in server.crt -out server.pem
实在修不好就重新签发
证书文件被改得面目全非时，最快的路径是从 CA 重新下载/重新签发一份，原样部署——不要手动编辑 Base64 内容。
常见问题（FAQ）
Q：证书是从 CA 面板复制的，为什么会带空格？
A：网页复制经常带入不可见字符（换行、全角空格、BOM）。建议直接下载证书文件而不是复制粘贴；必须粘贴时用纯文本编辑器（VS Code/Vim），粘贴后 openssl x509 -in 验证。
Q：-----BEGIN CERTIFICATE----- 前后能有内容吗？
A：PEM 解析器可能允许块外文本和空白，但部署文件仍建议只保留所需完整块。fullchain 可包含多个证书，通常按站点证书、相应中间证书排列；普通空行并不破坏 ASN.1。
Q：改完证书后 Apache 还是报错？
A：确认执行了 apachectl configtest 通过后再 systemctl reload apache2；另外检查文件权限——私钥应 600、属 root，证书 644。
核查依据
本文依据官方文档核对，示例未在实际业务环境运行；上线前请按部署版本、权限与数据范围验证。
