用证书的 pubkey 做 pin 字段，之后用原来的 csr 申请新证书，pubkey 不会变化的。

你也可以事先多做几个 csr ，然后自签名取到 pubkey ，然后都 ssl pin 到软件里，将来万一密钥 key 文件泄漏，换一个 csr 申请。