SSL 证书链验证器

为什么需要它

证书过期是运维事故里最常见的一类：告警满天飞，但真正出问题的往往不是那几张已经过期的叶子证书，而是中间 CA 被替换、链断裂、OCSP 装订失效这些“看不见”的问题。openssl verify 能告诉你当前这条链是否可信，但它不告诉你链上其他证书的过期情况，也不校验证书是否出现在公开 CT 日志里。等到客户端握手失败再处理，代价就是业务中断。

核心能力与工作方式

这个技能把证书链验证拆成几个独立但互补的层面：

• 链验证：调用本机 OpenSSL 对目标域名做深度证书链校验，确认叶子证书到信任锚之间的每一跳都有效、签名可验证。
• CT 日志核查：通过 Certificate Transparency 公开日志确认证书确实被签发过，而不是自签或伪造的中间证书，堵住替换信任链的漏洞。
• 到期监控：借助 crt.sh API 拉取目标域名在 CT 日志中登记的证书及有效期，提前发现即将到期的证书，而不是等监控脚本报红才补救。
• OCSP 状态检查：验证证书的 OCSP responder 是否正常响应，判断这张证书在撤销检查链路上是否处于可用状态。

适用边界与注意点

• 需要能从外部对目标域名发起 TLS 握手与查询，内网自签环境、隔离网络中的证书无法通过公开 CT 日志核查。
• crt.sh 依赖 CT 日志的采集延迟，新签发的证书可能短时间内查询不到。
• OCSP 检查依赖证书声明的 responder URL，responder 宕机不代表证书无效，但意味着无法实时确认其状态。
• 源文档中混杂了 RFC 8446（TLS 1.3）的片段文本，与该技能本身的实现无关，不应作为行为依据。