部署国密双证书时，严格遵循“先配置签名证书，再配置加密证书”这一通用原则。
这个顺序并非偶然，它与国密体系（SM2算法）在安全考量和技术实现上的独特设计紧密相关。
1. 核心逻辑：为何是签名证书在先？
国密的“双证书”机制中，两张证书负责不同功能，其生成和配置顺序由它们在安全体系中扮演的角色决定。
签名证书：用于身份认证，私钥完全由用户自己生成并保管，CA（证书颁发机构）不参与生成，以确保签名的法律效力和不可否认性。
加密证书：用于数据加密，密钥可由CA生成。在这种模式下，CA掌握加密私钥，是国家为了实现合规监管而设计（例如，在必要时可由授权机构解密监控）。
正是这种用户主导签名、CA参与加密**的体系，决定了在申请证书时，必须先产生由用户控制的签名密钥对。
2. 生效过程：一张证书是如何获得并生效的？
一张国密证书从申请到生效，其标准流程是由签名证书的生成来驱动的，具体步骤如下：
1. 生成签名密钥对：用户（如服务器）首先在本地生成签名证书所需的SM2密钥对，包括私钥和公钥。
2. 提交证书申请：用户基于签名公钥生成证书请求文件（CSR），发送给CA，以申请签名证书。
3. CA签发签名证书：CA审核通过后，签发签名证书并返回给用户。
4. CA生成加密证书：在签发签名证书的同时或之后，CA会生成对应的加密密钥对，并签发加密证书。
5. 安全传递加密私钥：为确保安全，CA会使用步骤1中生成的用户签名公钥，通过数字信封的方式将加密私钥安全地传递给用户，用户使用自己的签名私钥解密并获取。
6. 完成配置：最终，用户获得签名证书、加密证书以及加密私钥，完成整个配置。
3. 补充说明
在某些配置文件（如Nginx的`ssl.conf`）中，也明确要求“先配置签名证书，再配置加密证书”，并且签名证书和加密证书的私钥密钥可能相同。
在特定的工具或场景中，可能会生成一个临时的“交互密钥对”来辅助完成双证书的申请过程，但这并不改变“先生成签名密钥对”这一根本顺序。
您是在具体的服务器软件（如Nginx、Apache）上进行配置时遇到了疑问，还是想了解国密双证书更底层的密码技术原理？
