结构：CertificationRequestInfo（版本、主体、SubjectPublicKeyInfo 和属性，属性中通常有一个携带 subjectAltName 和密钥用法的 extensionRequest），加上用私钥对其计算的签名。PEM 标签：-----BEGIN CERTIFICATE REQUEST-----。
证书里最终包含什么由 CA 决定：公共 CA 采用其中的公钥和经过验证的名称，忽略或覆盖其他大多数请求字段。ACME 客户端在 finalize 步骤（RFC 8555 §7.4）中发送 CSR，其中的名称必须与订单的标识符完全一致。CSR 不包含任何机密信息，但生成它需要私钥，因此应当在私钥将来所在的位置创建 CSR。
典型命令：openssl req -new -key key.pem -subj "/CN=example.com" -addext "subjectAltName=DNS:example.com,DNS:www.example.com"。CSR 解码器会检查签名并显示请求的名称，CSR 生成器可以在本地生成 CSR。