运行openssl ocsp时，为什么会出现验证错误:无法获取本地颁发者证书？

运行openssl ocsp时，出现验证错误"无法获取本地颁发者证书"的原因是因为openssl ocsp命令在验证证书链时无法找到本地的颁发者证书。

在使用openssl ocsp命令进行证书验证时，需要提供完整的证书链，包括目标证书和所有中间证书，以及根证书。如果缺少其中任何一个证书，就会导致验证错误。

解决这个问题的方法是确保openssl ocsp命令能够访问到完整的证书链。可以通过以下步骤来实现：

1. 确认目标证书的完整证书链：使用openssl命令查看目标证书的证书链，例如：openssl s_client -connect <目标服务器>:<端口号> -showcerts这将返回目标服务器的证书链，包括目标证书、中间证书和根证书。将这些证书保存到本地文件。
2. 配置openssl ocsp命令使用证书链：在运行openssl ocsp命令时，使用"-CAfile"参数指定证书链文件的路径，例如：openssl ocsp -issuer <颁发者证书路径> -CAfile <证书链文件路径> -cert <目标证书路径> -url <OCSP服务器URL>这将告诉openssl ocsp命令使用指定的证书链进行验证。
3. 确保OCSP服务器可访问：验证错误可能还与OCSP服务器的可访问性有关。确保可以从运行openssl ocsp命令的主机访问到OCSP服务器，并且OCSP服务器的URL正确无误。

总结：

当运行openssl ocsp时出现验证错误"无法获取本地颁发者证书"时，需要确保openssl ocsp命令能够访问到完整的证书链，并正确配置命令参数。同时，还需要确保OCSP服务器可访问。