在 AWS API Gateway 配置自定义域名时，上传 SSL 证书后，控制台可能会弹出一个刺眼的错误：

Certificate chain is missing or incomplete.
The certificate must include the intermediate CA certificates.

很多人会疑惑：证书不是上传成功了吗？为什么还要什么"证书链"？

一、什么是证书链？

1.1 信任的传递

想象一下这个场景：你去银行办业务，柜员要求你出示身份证。你递过去一张卡片，柜员看了一眼说："这张卡我无法验证真假，你需要再给我看发证机关的证明。"

SSL 证书也是同理。浏览器不认识你的证书，它需要一条信任链来验证：

1.2 为什么需要中间证书？

你可能会问：为什么不直接用根证书签发服务器证书？

中间证书就像"代理人"：根证书把签发权限委托给中间证书，自己则离线保存，大大降低风险。

二、证书链缺失的影响范围

2.1 AWS 服务影响全景图

2.2 API Gateway 为什么最严格？

API Gateway 是 AWS 中对证书链要求最严格的服务，原因如下：

API Gateway 在边缘位置处理 HTTPS 请求，需要向客户端出示完整的证书链。如果证书链不完整：

• 某些客户端（如 Firefox）会直接拒绝连接
• API 调用失败，返回 SSL 握手错误
• 影响所有依赖 API Gateway 的服务（如 Lambda、AppSync）