本文按「信任体系 → 签发流程 → 客户端验证 → 企业落地」的顺序，讲清楚一张证书从生成密钥到被浏览器信任的完整链路。重点回答三个问题：
- 谁有权签发证书，信任是怎么一层层传下来的？
- 一张证书具体是怎么被签出来的，每一步的输入、输出和风险是什么？
- 企业如何设计、自动化、监控和治理这套证书体系？
主要依据：RFC 5280（X.509/CRL）、RFC 8446（TLS 1.3）、CA/Browser Forum TLS Baseline Requirements 2.3.1（2026-10-04）、RFC 6960（OCSP）、RFC 6962（CT）、RFC 8555（ACME）、RFC 8659（CAA）、RFC 9525（主机名验证）、RFC 7633（Must-Staple）、RFC 6797（HSTS）以及 OpenSSL 官方文档。