# AIA是什么？定义、例子与常见误区

> AIA 即颁发机构信息访问，是 X.509 证书扩展，提供签发 CA 证书的下载地址，以及（可选的）该 CA 的 OCSP 服务地址。

Source: https://ssl.sh/zh/glossary/aia/
Last updated: 2026-11-10

AIA（Authority Information Access）在 RFC 5280 中定义，包含两类访问描述：`caIssuers` 指向签发本证书的那个 CA 的证书下载地址，`ocsp` 指向该 CA 的 [OCSP](https://ssl.sh/zh/glossary/ocsp/) 响应服务。这些 URL 通常是普通 HTTP，这是有意为之：下载到的数据本身带签名、会被单独验证，而要求用 HTTPS 反而会在证书验证上造成循环依赖。

## 为什么重要
部分平台（例如 Windows 自带的证书验证组件）会按 caIssuers 地址自动下载缺失的 [中间证书](https://ssl.sh/zh/glossary/intermediate-certificate/)，这种行为叫 AIA 补链（AIA fetching）。基于 OpenSSL 的工具、curl 以及许多移动端和嵌入式客户端不会这样做，所以证书链不完整的服务器可能在某个浏览器里正常、在别处报错。OCSP 部分正在退场：CA/浏览器论坛 SC-063 投票（2024-03-15 生效）后，OCSP 对 CA 变为可选；Let's Encrypt 于 2025-05-07 起在新证书中去掉了 OCSP 地址，吊销状态改由 [CRL](https://ssl.sh/zh/glossary/crl/) 提供。在内网或出站访问受限的环境中，客户端根本无法访问 AIA 地址，更应在服务端配好完整证书链。

## 例子
```bash
openssl x509 -in cert.pem -noout -ext authorityInfoAccess
```

```text
Authority Information Access:
    CA Issuers - URI:http://ca.example.com/issuer.crt
```

## 常见误区
- **有了 AIA 就不用发送中间证书。** 很多客户端从不自动下载，服务器始终应发送完整链。
- **AIA 地址应该用 HTTPS。** 使用 HTTP 是有意设计，下载到的证书靠签名而不是传输通道来保证可信。

## 相关术语

- [中间证书](https://ssl.sh/zh/glossary/intermediate-certificate/): 中间证书是由根证书（或上级中间证书）签发、用来签发网站证书的 CA 证书，服务器必须把它和网站证书一起发送给客户端。
- [OCSP](https://ssl.sh/zh/glossary/ocsp/): OCSP 是 RFC 6960 定义的在线证书状态协议，客户端可以向 CA 的响应服务器查询某一张证书当前是有效、已吊销还是未知。
- [证书链](https://ssl.sh/zh/glossary/certificate-chain/): 证书链是从网站终端证书经中间证书一直到受信任根证书的有序证书序列，每一张都由下一张签名。
- [X.509](https://ssl.sh/zh/glossary/x509/): X.509 是 ITU-T 制定的公钥证书标准格式，其互联网配置规范 RFC 5280 规定了 TLS 所用证书的结构和验证方法。
- [CRL](https://ssl.sh/zh/glossary/crl/): CRL 是由 CA 签名并定期重新发布的证书吊销列表，列出它在证书到期前就已吊销的证书序列号。
- [证书吊销](https://ssl.sh/zh/glossary/revocation/): 证书吊销是 CA 在证书到期前宣布其作废的操作，通过 CRL 或 OCSP 对外公布，使客户端不再信任这张证书。