B.3.11. policyConstraints

此扩展仅用于 CA 证书，以两种方式限制路径验证。它可用于禁止策略映射，或者要求路径中的每个证书都包含可接受的策略标识符。

PKIX 要求（若存在），此扩展永远不会包含 null 序列。必须至少存在两个可用字段之一。