已经有了很好的答案。但是值得一提的是，最新的curl版本(>7.88.0)将为您简单地完成此操作…

curl https://example.com -w "%{certs}" -o /dev/null > cacert.pem

如果服务器使用自签名证书，则添加——insecure。并添加——head以避免响应体。

查看可用性和要求: cURL -w certs特性

虽然我同意Ari的回答(并为其点赞:)，但我需要做额外的步骤来让它在Windows上与Java一起工作(需要在Windows上部署):

openssl s_client -showcerts -connect www.example.com:443 < /dev/null | openssl x509 -outform DER > derp.der

在添加openssl x509 -outform DER转换之前，我从Windows上的keytool得到一个错误，抱怨证书的格式。导入.der文件工作正常。

从远程服务器以PEM格式提取证书的一行程序，这次使用sed:

openssl s_client -connect www.google.com:443 2>/dev/null </dev/null |  sed -ne '/-BEGIN CERTIFICATE-/,/-END CERTIFICATE-/p'

启动客户端:

openssl s_client -showcerts stackoverflow.com:443

通过停止STDIN (CTRL+D)或终止进程(CTRL+C)退出。

禁用输入，并在显示证书后强制客户端退出。

openssl s_client -showcerts stackoverflow.com:443 < /dev/null

您可以使用next bash脚本获取并存储服务器根证书:

CERTS=$(echo -n | openssl s_client -connect $HOST_NAME:$PORT -showcerts | sed -ne '/-BEGIN CERTIFICATE-/,/-END CERTIFICATE-/p')
echo "$CERTS" | awk -v RS="-----BEGIN CERTIFICATE-----" 'NR > 1 { printf RS $0 > "'$SERVER_ROOT_CERTIFICATE'"; close("'$SERVER_ROOT_CERTIFICATE'") }'

只需覆盖所需的变量。

事实证明这里有更多的复杂性:我需要提供更多的细节来启动它。我认为这与这是一个需要客户端身份验证的连接有关，而握手需要更多的信息才能继续到转储证书的阶段。

下面是我的工作命令:

openssl s_client -connect host:port -key our_private_key.pem -showcerts \
                 -cert our_server-signed_cert.pem

希望这对那些需要更多信息的人来说是一个正确的方向。