Agent Skills
返回列表
🔒

zlint 证书合规检查

IT 运维与安全 更新于 2026.08.29

将以下提示词粘贴到你的 AI 对话框中：

请根据 https://skillhub.cn/install/skillhub.md，安装 @user_3c6cb52e/lint-x509-certificates-against-web-pki-rules-with-zlint-before-issuance-or-rollout。

技能介绍

签发流程中缺失的一道卡点

证书从 CSR 到落地通常要经过多个环节，任何一个环节引入的扩展不合规、用途（Key Usage / EKU）配置错误或命名约束缺失，都可能导致浏览器报错、信任库审核被拒。等到上线后再处理，往往意味着整批吊销与重发，代价远高于签发前拦截。这个技能要做的，就是在证书颁发或部署之前，用 zlint 对 X.509 证书和预证书做一次针对 Web PKI 规则的 lint 检查。

技能如何工作

  • 输入：PEM 或 DER 格式的证书 / 预证书
  • 执行：通过 zlint CLI 或 Go 库，对证书结构、扩展字段等执行 lint，核对是否符合 Web PKI 生态实际执行的规则
  • 输出：一份 lint findings 清单，交由运维人员逐条解读

关键步骤：准备待检证书 → 运行 zlint → 解读 findings → 拦截或放行。它不替代签发流程本身，只在发布前插入一个自动化检查环节。

适用边界

  • zlint 只负责发现问题，findings 的严重程度与修复方式需要人来判断
  • 上游要求 Go 1.16.x 及以上，命令行用法假设 go 命令已在 $PATH 中
  • 输入格式受限于 PEM / DER，其他编码需要先转换
  • 合规结论以 zlint 发布的规则 profile 为准，不能替代信任库方或 CA 的最终审核

使用场景

  • CA 签发流水线在正式颁发证书前，需对生成的 X.509 证书执行自动化规则检查并拦截不合规项。
  • 安全团队将新根证书提交至操作系统信任库前，需确认其扩展字段和约束是否符合 Web PKI 规范。
  • 运维人员在大规模部署 TLS 证书前，需批量验证 PEM 或 DER 文件是否存在引发浏览器报错的配置错误。

适合人员

  • CA 工程师：希望在证书颁发前自动拦截扩展或用途配置错误的证书，避免引发客户端信任失败。
  • 信任库维护者：需要在操作系统或浏览器接受新根/中间证书前，确认其严格遵循 Web PKI 生态规范。
  • DevOps 运维专家：负责自动化签发与部署流程，想在上线前用 CLI 工具对 PEM/DER 文件做最后一次 lint。