SSL证书验证流程是怎样的

SSL证书验证流程

一 概览 当用户通过浏览器或客户端访问使用 HTTPS 的网站时，客户端会与服务器进行 TLS 握手，在建立加密通道前对服务器提供的 SSL/TLS 证书进行一系列校验，包括：证书链是否可信、签名是否有效、是否过期、域名是否匹配、是否被吊销等。只有全部校验通过，才会建立安全连接；否则浏览器会给出 ERR_CERT_AUTHORITY_INVALID、ERR_CERT_DATE_INVALID、ERR_CERT_REVOKED 等错误提示。

二 客户端验证步骤

• 获取证书链：客户端在 TLS 握手中收到服务器的证书链（通常包含终端证书与中间证书；根证书一般预置在客户端信任库，无需服务器下发）。
• 构建并验证信任链：用本地信任库中的根证书逐级校验证书的数字签名，确认“终端证书 → 中间证书 → 根证书”的链路完整且未被篡改。
• 校验证书状态：检查证书的有效期（Not Before/Not After），并通过 **CRL（证书吊销列表）**或 **OCSP（在线证书状态协议）**查询是否被吊销。
• 检查域名匹配：核对证书中“颁发给/使用者”的域名与用户实际访问的域名是否一致（含 SAN 扩展的多域名匹配）。
• 建立加密通道：证书验证通过后，客户端与服务器协商加密套件与密钥，完成握手并开启加密通信。
  以上步骤中，信任链与签名验证依赖 CA 的数字签名与本地信任库；状态检查依赖 CRL/OCSP；域名匹配与有效期检查是阻断常见风险的关键环节。

三 服务器证书应包含与应配置的内容

• 证书链完整：部署时应同时提供终端证书与所需的中间证书，确保客户端能构建到受信任根证书的完整链路；仅上传终端证书容易导致“链不完整”而报错。
• 正确的域名与扩展：证书的 **Common Name（CN）/Subject Alternative Name（SAN）**需覆盖实际访问域名（如带/不带 www、多域名、通配符等）。
• 及时续期与更新：证书具有有限有效期，需在到期前完成续期并替换，避免“证书已过期”导致的中断。
• 吊销与状态响应：确保证书可被正常查询 CRL/OCSP 状态，减少因状态未知而被拒绝连接的风险。
  这些部署要点直接关系到客户端能否顺利完成证书验证并建立安全连接。

四 常见错误与排查

• 根证书不受信任（ERR_CERT_AUTHORITY_INVALID）：服务器未正确提供中间证书或使用了客户端不信任的 CA；解决：部署完整链并确认 CA 受信任。
• 证书已过期（ERR_CERT_DATE_INVALID）：当前时间不在证书有效期内；解决：更新为新的有效证书。
• 域名不匹配：访问域名不在证书 CN/SAN 中；解决：为实际域名重新签发或补充 SAN。
• 证书已吊销（ERR_CERT_REVOKED）：证书被 CA 吊销；解决：立即申请新证书并排查私钥泄露或配置问题。
• 链不完整：客户端无法构建到受信任根的链路；解决：在服务器正确配置中间证书链。
  遇到上述错误时，优先检查证书链、有效期、域名匹配与吊销状态，可结合在线检测工具进行快速定位。