CSR 解码器（检查证书签名请求）

在把证书签名请求发给 CA 之前，或当别人发给你一份时，值得先检查它到底在请求什么。这个解码器读取 PEM 或 Base64 的 CSR，显示主体、主体备用名称、密钥类型和长度、签名算法以及所请求的任何扩展。它用 Web Crypto API 验证请求的自签名，并对薄弱的密钥、SHA-1、缺失的 SAN 以及不在 SAN 中的 CN 给出警告。

使用方法

1. 粘贴 CSR，包括 BEGIN 和 END 行。
2. 阅读主体和 SAN 行，确认每个主机名都在其中。
3. 确认密钥至少是 RSA 2048 或 ECDSA P-256，并且签名有效。
4. 把公钥哈希与你的私钥对照，确认二者是一对。

计算公式

Signature check: verify(signature, publicKey from the CSR, DER of CertificationRequestInfo) with the algorithm named in signatureAlgorithm.

有效的自签名证明该请求由持有私钥的人制作，并且此后没有被改动。它并不说明内容是否属实——这由 CA 另行核实。

示例

针对 www.example.com 的 ECDSA 请求会显示 EC P-256（256 位）、ECDSA 与 SHA-256、SAN 为 DNS:www.example.com、DNS:example.com、IP Address:192.0.2.1 和 email:admin@example.com，并且 签名：有效。把 Base64 签名中改动任何一个字符，结果就会变成无效，与 openssl req -verify 报告失败一致。