HTTP 客户端怎么去校验证书的合法性？

HTTP客户端在验证证书合法性时，主要遵循以下步骤：

1. 获取证书：当客户端（如浏览器）尝试与HTTPS服务器建立连接时，它会从服务器请求SSL/TLS证书。
2. 验证证书颁发机构（CA）：客户端会检查证书是否由受信任的CA签发。这通常通过检查证书链中的所有证书是否有效来完成，确保没有被篡改或伪造。
3. 检查证书有效期：客户端会验证证书的有效期，确保它没有过期。
4. 验证证书与域名的匹配性：客户端会检查证书中的主题名称字段，确认证书表示的域名与客户端正在尝试访问的域名是否匹配。
5. 验证公钥的有效性：客户端会验证证书中的公钥，以确保可以安全地将数据传输给服务器。

具体来说，验证过程还涉及以下技术细节：

• 证书签名验证：CA会对证书中的信息进行打包和Hash计算，然后用其私钥加密Hash值，生成证书签名。客户端使用相同的Hash算法对证书信息进行计算，并使用CA的公钥对证书签名进行解密，比较两个Hash值是否相同，从而验证证书的完整性和真实性。
• 防止虚假证书攻击：客户端还会检查是否存在被劫持或伪造的证书。如果证书验证过程中出现任何问题，客户端（如浏览器）通常会向用户发出警告，防止用户继续与不安全的站点进行通信。

通过这一系列步骤，HTTP客户端能够有效地校验证书的合法性，确保与服务器之间的通信是安全、可信的。