从文件获取CER证书，核心就是通过OpenSSL或操作系统工具，将已存在的证书文件转换或导出为纯X.509编码的.cer格式。
如何用命令将PFX转为CER证书
很多场景下我们需要从PFX（PKCS#12）文件中提取出CER证书，比如在部署SSL证书时，服务器只接受单独的.cer公钥文件，PFX文件通常包含私钥和完整证书链，而CER只存公钥证书部分。
使用OpenSSL一行命令搞定
OpenSSL是业界通用的证书处理工具，几乎在所有Linux和Windows（通过WSL或Git Bash）环境都能运行，具体命令如下：
– 打开终端，进入PFX文件所在目录。
– 执行：openssl pkcs12 -in yourfile.pfx -clcerts -nokeys -out cert.cer
– 输入PFX文件的导入密码（如果设置过）。
– 生成的cert.cer就是标准的Base64编码CER证书，可直接交给服务器或导入浏览器。
命令参数解析
– -in yourfile.pfx：指定输入的PFX文件。
– -clcerts：只输出客户端证书（即叶子证书），不输出CA证书。
– -nokeys：不输出私钥，确保生成的CER文件只包含公钥。
– -out cert.cer：指定输出文件名称，扩展名用.cer。
Windows证书管理器导出法
如果你不想用命令行，Windows自带的证书管理工具也能完成同样的操作，步骤很简单：
1. 双击PFX文件，按提示导入到“个人”证书存储区。
2. 按Win+R，输入certmgr.msc打开证书管理器。
3. 展开“个人”→“证书”，找到你刚导入的证书（通常以颁发给域名或组织名称显示）。
4. 右键该证书 → “所有任务” → “导出”。
5. 在导出向导中，选择“不导出私钥”，然后选择“Base64编码X.509”（.cer）格式。
6. 指定保存路径，完成导出。
这种方法适合没有OpenSSL的Windows用户,而且可以直观看到证书链信息。
从PEM文件获取CER证书
PEM文件本身就能包含公钥证书，但有时你需要转换为标准的.cer格式，PEM和CER在Base64编码上本质相同，只是扩展名和文件头部标识有差异，多数情况下，直接重命名就能生效，但为了兼容性，建议用OpenSSL做一次转换。
直接复制法
如果PEM文件已经包含—–BEGIN CERTIFICATE—–和—–END CERTIFICATE—–，你只需将这段内容复制到新文件，并保存为.cer扩展名，即可被系统识别为证书文件，但要注意，PEM文件可能包含多个证书（如完整链），而CER通常只保留叶子证书。
用OpenSSL单独提取证书块
当PEM文件包含私钥或中间证书时，用命令提取会更干净：
– 执行：openssl x509 -in yourfile.pem -out cert.cer
– 如果PEM里有多个证书，可结合openssl crl2pkcs7或openssl storeutl等工具先列出所有证书，再逐一提取，行业共识认为，使用OpenSSL的x509子命令是最稳妥的方式。
Windows系统下获取CER证书的两种方式
除了从已有文件转换，你还可以直接从联网服务器或本地文件中抓取CER证书，Windows用户经常遇到“缺少.cer文件”的报错，这时可以按以下方法补救。
从浏览器导出站点证书
当你访问一个HTTPS网站时，可以直接从浏览器地址栏获取该站点的CER证书：
1. 点击地址栏左侧的锁图标。
2. 选择“连接安全”或“证书”。
3. 在弹出的证书窗口，切换到“详细信息”选项卡。
4. 点击“复制到文件”，导出为“Base64编码X.509”格式，即得到.cer文件。
这种方法适合需要快速获取某个域名的公钥证书,用于本地测试或配置。
使用openssl s_client从远程拉取
技术用户更常用命令行直接获取服务器证书并保存为CER：
– 命令：openssl s_client -connect example.com:443 -showcerts < /dev/null 2>/dev/null | openssl x509 -outform DER -out cert.cer
– 这条命令连接服务器，提取第一个证书，并以DER格式输出为.cer文件，如果希望得到Base64格式，可去掉-outform DER，或者用-outform PEM后手动改扩展名。
cer证书文件怎么打开？
许多用户拿到.cer文件后不知道如何查看内容，其实方法很简单，CER文件本身有两种编码：DER（二进制）和Base64（文本），Windows默认双击会用证书管理器打开，显示证书信息，如果需要查看完整内容，可以用记事本或文本编辑器打开（仅限Base64编码），里面包含—–BEGIN CERTIFICATE—–等标识，DER编码的CER文件无法直接阅读，需要转换。
Windows自带查看
– 直接双击.cer文件，系统会弹出证书信息窗口，显示颁发者、有效期、指纹等信息。
– 如果双击后提示“不是有效的证书”，可能是编码问题，可尝试用右键→“打开方式”→“选择默认程序”→“证书查看器”。
用OpenSSL解码查看
– 对于DER编码：openssl x509 -in cert.cer -inform DER -text -noout
– 对于Base64编码：openssl x509 -in cert.cer -inform PEM -text -noout会包含证书的所有字段，比如公钥、签名算法、扩展项等，便于调试。
转换工具
如果系统不支持双击查看，可借助在线转换工具（如SSL Shopper的证书解码器），但要注意私钥安全，CER文件只含公钥，相对安全，业内专家指出，任何在线工具都不应上传包含私钥的文件。
免费获取CER格式SSL证书的常见方法
对于个人开发者或中小企业，获取CER证书往往不需要付费，目前主流的免费证书颁发机构（CA）都支持自动签发并导出CER格式。
Let’s Encrypt开启自动续期
– 使用Certbot客户端，申请证书时会自动生成fullchain.pem和privkey.pem。
– 从fullchain.pem中提取叶证书（第一个证书）即可得到CER内容。
– 命令：
openssl x509 -in /etc/letsencrypt/live/yourdomain/fullchain.pem -out cert.cer
国内CA免费证书
近年来，国内一些CA如ZeroSSL、JoySSL等也提供免费证书，通常支持自动签发并下载多种格式，包括CER，用户只需在控制台选择“导出证书”，即可得到DER或Base64编码的.cer文件，部分服务还提供一键转换功能，无需手动处理。
自签名证书用于测试
开发环境可以用OpenSSL生成自签名证书，直接保存为CER：
– 生成私钥：openssl genrsa -out private.key 2048
– 生成证书请求：openssl req -new -key private.key -out server.csr
– 自签名：openssl x509 -req -days 365 -in server.csr -signkey private.key -out cert.cer
– 这样得到的cert.cer就是标准的CER文件，可用于本地HTTPS测试。
file获取cer证书常见问题
cer证书和crt证书有什么不同？
上几乎一样，都是X.509证书，只是扩展名不同，CER通常用于Windows系统，CRT常用于Unix/Linux，编码方式也相同，既可以是DER也可以是PEM，实际使用时，直接重命名即可互换，但需注意文件内容是否包含私钥（CER和CRT都不应包含私钥）。
pfx文件密码丢失怎么导出cer？
如果忘记PFX的导入密码，无法直接导出，可以尝试使用密码恢复工具（如John the Ripper），但成功率取决于密码复杂度，另一种方法是，如果PFX是在Windows上生成的，且你之前选择“启用强私钥保护”，可能永远无法导出，建议平时妥善保管密码，或将PFX转换后保存为无密码的单独CER文件。
从cer文件能获取私钥吗？
不能，CER文件只包含公钥证书，不包含私钥，私钥通常存储在.key、.pem或PFX文件中，如果试图从CER提取私钥，结果为空，确保私钥安全是证书管理的基本原则，任何声称能从CER恢复私钥的工具都是不可信的。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/524991.html
