加餐六｜HTTPS：浏览器如何验证数字证书？

工作两年，对很多前端知识有的还是比较乱的，一知半解禁不住深究，老师的课程帮助很好的梳理了这些知识，也详细的讲解了，让我有了系统的认知，也为之后的继续学习提供了方向，非常的感谢老师，很值。已经推荐给朋友，以后如果老师再出课，也会继续跟着学习。 我不是托，我不是托，我就是真诚的表示一下感谢。谢谢 ~

老师太好了，每天都会看看，是否老师有新的更新，期待老师不定期能更新一些

期待老师的 Promise 加餐

盗版的操作系统也有可能安装了恶意根证书啊，所以大家支持正版吧

总结： 浏览器怎么验证证书？ 一般通过 验证证书有效期， 证书是否被CA吊销，证书是否是合法CA机构颁发 如何验证证书有效期？ 证书里面包含有效期 如何获知证书被吊销？ 1. 下载吊销证书列表 2. 在线验证 如何证明是合法CA机构？ 1. 通过证书原始信息（hash）计算消息摘要 2. 利用CA公钥解密证书中的数字签名，得到消息摘要 3. 将两者进行对比 浏览器怎么拿到CA公钥？ 服务器部署时，除了当前数字证书外，还需要部署CA证书，CA证书上就包含了CA公钥，当建立HTTPS连接时，服务器会往浏览器发送两个证书，如果服务器上没有部署CA证书，浏览器会通过网络下载CA证书，也可以拿到CA公钥 这里只证明了CA公钥的来源，怎么知道它是合法机构？ 很遗憾没有！退而求其次，计算机操作系统内置了一些颁发证书的机构，但因为机构众多不可能这么处理，所以将证书分成了“根CA”和“中间CA”，一个“根CA”会有多个“中间CA”，“根”给“中间”做认证 怎么知道根证书的合法性？ 要成为“根CA”需要得到“Web Trust”认证通过才会内置到操作系统中，Web Trust 包括两个机构（AICPA【美国注册会计师协会】和 CICA【加拿大注册会计师协会】） 如果操作系统被入侵如何保证跟证书合法性？ 凉凉。。。

这篇文章就解决了客户端验证服务器正确性的问题。但是我有一个小疑问，如果我伪造了一个客户端，同时拿到数字签名和CA公钥，通过CA公钥解密数字信息，这样是否能骗取服务端的信任？老师可以讲讲这中间的细节吗？

我看完了，酣畅淋漓的感觉，满满干货，意犹未尽啊，给老师点赞，希望继续学习老师的课！

我感觉老师这篇是看到了我之前的留言，专门延伸的一篇文章，点赞！

众所周知，青花瓷工作原理就是在个人主机上设置了一个代理，浏览器信任代理，代理验证并信任服务器的证书，所以可以在青花瓷中看到https的请求内容，同样原理，有没有可能在我们的浏览器在访问服务器之间设置一个代理，而致使浏览器无知觉的先请求到”代理服务器“，而”代理服务器“也拥有CA颁发的合法证书，”代理服务器“可以肆无忌惮的查看甚至修改浏览器与服务器间的通信

那CA机构的数字证书到底是操作系统内置的还是服务端传过来的呢？