AIA （Authority Information Access，颁发机构信息访问）

AIA（Authority Information Access）在 RFC 5280 中定义，包含两类访问描述：caIssuers 指向签发本证书的那个 CA 的证书下载地址，ocsp 指向该 CA 的 OCSP 响应服务。这些 URL 通常是普通 HTTP，这是有意为之：下载到的数据本身带签名、会被单独验证，而要求用 HTTPS 反而会在证书验证上造成循环依赖。

为什么重要

部分平台（例如 Windows 自带的证书验证组件）会按 caIssuers 地址自动下载缺失的 中间证书，这种行为叫 AIA 补链（AIA fetching）。基于 OpenSSL 的工具、curl 以及许多移动端和嵌入式客户端不会这样做，所以证书链不完整的服务器可能在某个浏览器里正常、在别处报错。OCSP 部分正在退场：CA/浏览器论坛 SC-063 投票（2024-03-15 生效）后，OCSP 对 CA 变为可选；Let's Encrypt 于 2025-05-07 起在新证书中去掉了 OCSP 地址，吊销状态改由 CRL 提供。在内网或出站访问受限的环境中，客户端根本无法访问 AIA 地址，更应在服务端配好完整证书链。

例子

openssl x509 -in cert.pem -noout -ext authorityInfoAccess

Authority Information Access:
    CA Issuers - URI:http://ca.example.com/issuer.crt

常见误区

• 有了 AIA 就不用发送中间证书。 很多客户端从不自动下载，服务器始终应发送完整链。
• AIA 地址应该用 HTTPS。 使用 HTTP 是有意设计，下载到的证书靠签名而不是传输通道来保证可信。