在使用SSL证书时，创建一个CSR（证书签名请求）是必不可少的一步。而在创建CSR时，有一个重要的参数是OU（组织单位）字段。通常情况下，OU字段使用加号（+）来分隔不同的组织单位。然而，根据php小编香蕉的建议，如果要正确创建CSR，应该使用逗号（,）来分隔不同的组织单位。这样做可以确保CSR的正确性，避免在证书申请过程中出现问题。因此，在创建CSR时，请记得使用逗号分隔OU字段，以确保证书的准确性和顺利申请。

问题内容

我正在尝试使用加密库在 go 中创建证书签名请求。问题是它生成的 CSR 的 OU 由 + 分隔，即

Subject: O = Example Org, OU = OU1 + OU = OU2, CN = example.com

如何生成由 、 分隔的 OU 的 CSR，例如

Subject: O = Example Org, OU = OU1, OU = OU2, CN = example.com

生成由 + 分隔的 OU 似乎是 crypto lib 的默认行为。这可以使用加密库来完成吗？如果没有，那么是否有任何其他库可以生成CSR，其OU由，分隔

我尝试使用下面的代码生成 CSR

package main

import (
    "crypto/rand"
    "crypto/rsa"
    "crypto/x509"
    "crypto/x509/pkix"
    "encoding/pem"
    "fmt"
    "os"
)

func main() {
    privKey, err := rsa.GenerateKey(rand.Reader, 2048)
    if err != nil {
        fmt.Println(err)
        os.Exit(1)
    }

    csrTemplate := x509.CertificateRequest{
        Subject: pkix.Name{
            CommonName:         "example.com",
            Organization:       []string{"Example Org"},
            OrganizationalUnit: []string{"OU1", "OU2"},
        },
        EmailAddresses: []string{"[email protected]"},
    }

    csrBytes, err := x509.CreateCertificateRequest(rand.Reader, &csrTemplate, privKey)
    if err != nil {
        fmt.Println(err)
        os.Exit(1)
    }

    csrPem := pem.EncodeToMemory(&pem.Block{
        Type:  "CERTIFICATE REQUEST",
        Bytes: csrBytes,
    })

    fmt.Println(string(csrPem))
}

解决方法

“+”和“,”都不是证书的一部分。它正是在提供证书请求的人类可读字符串表示形式时使用的。

详细信息：您的代码只是打印出 PEM 格式的 CSR 文件，而不是人类可读的证书请求表示形式。使用 asn1parse 查看此 CSR 会得出：

$ openssl asn1parse -in csr.pem 
   ...       
   37:d=4  hl=2 l=  10 cons: SEQUENCE          
   39:d=5  hl=2 l=   3 prim: OBJECT            :organizationalUnitName
   44:d=5  hl=2 l=   3 prim: PRINTABLESTRING   :OU1
   49:d=4  hl=2 l=  10 cons: SEQUENCE          
   51:d=5  hl=2 l=   3 prim: OBJECT            :organizationalUnitName
   56:d=5  hl=2 l=   3 prim: PRINTABLESTRING   :OU2
   61:d=3  hl=2 l=  20 cons: SET

因此，这些是单独的对象，而不是中间有“+”的组合字符串。当使用 req 显示证书请求时，会出现此“+”：

$ openssl req -in csr.pem -text 
Certificate Request:
    Data:
        Version: 1 (0x0)
        Subject: O = Example Org, OU = OU1 + OU = OU2, CN = example.com

这里使用哪个分隔符实际上可以进行配置。请参阅 openssl-namedisplay-options 并查找 sep_comma_plus_space ，这是默认分隔符。引用文档：

所以你已经明白了：在不同的 RDN（即 O、OU、CN、...）之间使用逗号，而在同一 RDN 内的多个 AVA 之间使用加号（如多个 OU）。另外，无论如何都不鼓励使用多个 AVA。