reqwest 读取 CA 文件成功，证书列表却是空的

配置指定了内部 CA 文件，Certificate::from_pem_bundle() 没报错，客户端也能构建，真正请求内部服务时才遇到证书信任错误。先检查解析结果是否有证书，而不是只看 Result 为 Ok。

reqwest 0.13.5 的 bundle 读取遍历 PEM 证书块。没有任何证书标记的文本，可以得到 Ok(vec![])；有标记但编码错误，则可能在解析阶段失败。零证书是这类集合 API 允许的结果，不等于它已经验证“应用必填 CA 配置有效”，也不是跳过 TLS 验证的漏洞。

必填 CA 由应用在入口拒绝空集合

若配置明确要求至少一个 CA，可以在构建客户端之前增加检查。下面函数接收原有 ClientBuilder，不新建另一套会丢失代理、超时或认证配置的 builder：

use reqwest::{Certificate, ClientBuilder};

fn add_required_ca(
    mut builder: ClientBuilder,
    pem: &[u8],
) -> Result<ClientBuilder, Box<dyn std::error::Error>> {
    let certificates = Certificate::from_pem_bundle(pem)?;
    if certificates.is_empty() {
        return Err("no certificates found in required CA bundle".into());
    }
    for certificate in certificates {
        builder = builder.add_root_certificate(certificate);
    }
    Ok(builder)
}

示例面向启用 rustls 的 reqwest 配置，pem 来自已经按项目规则读取的文件。返回的 builder 仍需由调用方完成 build 并作为真实客户端使用；只调用函数却继续使用旧客户端，不会加载新增 CA。

这一步保留原信任库选择，不默认关闭内置根证书，也不增加 accept-invalid-certs 之类跳过验证的设置。若原应用刻意只信任专门根库，应按原规则维护，不能在修非空检查时扩大信任范围。

非空不等于可信、匹配或未过期

文件里有证书，只说明找到了可解析的证书材料。仍应确认它来自认可渠道、适合作为预期信任锚，并检查实际服务的证书链、有效期和主机名。不要把任意服务端叶证书或网络上取得的不明证书加入信任来消掉错误。

空文件、错误格式和可选配置也应分开处理。某个选项本来允许“不添加自定义 CA”，可以保留明确的未配置分支；不能把必填文件解析为空，悄悄当作未配置继续启动。

让错误在配置阶段可定位

诊断记录可包含受控文件标识、证书数量与加载阶段，避免输出整份材料或其他配置秘密。不要把读取成功写成握手成功；系统默认根库恰好能验证某个公共网站，也不能证明内部 CA 已加载。

用空内容、无证书文本、损坏 PEM、有效 CA 和实际目标服务分别核对，确认必填错误尽早返回、正常信任链仍接受、错误身份仍拒绝。保留旧 CA 引用和客户端配置，切换时仅替换经过核对的材料；若撤回新增 CA，也要确认旧入口仍有有效信任路径。