这篇文章用一个脱敏后的 Python HTTPS 报错为例，讲清楚 unable to get local issuer certificate 到底是什么意思，为什么很多时候不是客户端代码写坏了，而是证书链没接上；正文讲排查主线，完整脚本与可运行示例放到独立仓库里。

以我自己的个人网站证书过期为引子，讲清楚 Root CA、Intermediate CA、Leaf Certificate 的职责、格式与验证过程，再把 PEM/JKS/P12 的选择和自动轮换这件事说透。