絡(luò)協(xié)議實(shí)戰(zhàn)（4）：HTTPS 與 TLS 握手證書機(jī)制)
問題背景上一篇結(jié)尾說過HTTP 每一代演進(jìn)的固定成本里最貴的一塊就是 TLS1.1 的HTTPS 慢、2.0 的單連接復(fù)用、3.0 的 0-RTT全都在跟這一筆握手稅較勁。而現(xiàn)場(chǎng)故障也從沒繞開它證書到期只砸中部分用戶有人緩存了舊鏈、有的客戶端不補(bǔ)中間證書curl -v里明明看到證書Issued to正確卻報(bào)unable to get local issuer certificate內(nèi)部服務(wù)互調(diào)時(shí)有人圖省事寫了verifyFalse滲透測(cè)試報(bào)告直接把這條列成高危還有公司代理能抓 HTTPS 包背后那套簽發(fā)機(jī)制到底安不安全。要從容處理這些需要同時(shí)握住兩條線證書線信任是怎么從一根自簽根一路傳遞到你的瀏覽器地址欄的和握手線一次 TLS 建連到底交換了什么、付了幾次往返。本篇兩條線都用真實(shí)驗(yàn)落地先用 Python 標(biāo)準(zhǔn)庫 ssl 在回環(huán)上跑一次真實(shí) TLS 1.3 握手——本機(jī) openssl 生成根 CA 服務(wù)器證書兩級(jí)鏈親眼看信任庫如何決定握手成敗再用確定性模型解剖 X.509 路徑構(gòu)建算法和 1.2/1.3/恢復(fù)/0-RTT 四種建連成本。核心原理第一層公鑰不安全信任才安全。TLS 要解決的問題一句話讓客戶端在一個(gè)誰都可能竊聽、篡改的網(wǎng)絡(luò)里確定和我握手的這臺(tái)服務(wù)器真是 demo.local并且我們之后有一條加密通道。非對(duì)稱加密只解決驗(yàn)簽這半件事——服務(wù)器用私鑰簽握手客戶端用公鑰驗(yàn)。剩下的半件事才是全部難點(diǎn)公鑰本身怎么可信如果有人把公鑰換成他的一切歸零。Web 的答案是一條信任鏈操作系統(tǒng)/瀏覽器出廠內(nèi)置一小批根證書信任錨根 CA 授權(quán)中間 CA中間 CA 對(duì)域名 公鑰 有效期 用途約束這份檔案簽名這份檔案就是服務(wù)器證書。客戶端驗(yàn)證時(shí)從葉子證書出發(fā)簽名驗(yàn)證用上一級(jí)的公鑰驗(yàn)下一級(jí)的指紋→ 有效期 → 基本約束只有CA:TRUE的證書記錄才允許簽發(fā)別人→ 主機(jī)名匹配比對(duì) SAN 列表現(xiàn)代瀏覽器早就不看 CN 了→ 一路走到信任錨。任何一環(huán)斷握手終止部分用戶失敗幾乎都是鏈某一環(huán)在某個(gè)信任庫里狀態(tài)不同。第二層證書鏈里服務(wù)器該發(fā)什么。鏈?zhǔn)莑eaf → intermediate → root但服務(wù)器只該發(fā)前兩段不該發(fā)根根證書客戶端本地就有多發(fā)一截浪費(fèi)帶寬更隱蔽的坑是——不少客戶端歷史上尤其 Android 和部分庫不會(huì)替你補(bǔ)中間證書服務(wù)器漏發(fā)中間段它就拼不出到錨的路徑報(bào)的就是那個(gè)熟悉的unable to get local issuer certificate。而為什么有的能打開有的不能正是各家補(bǔ)鏈策略不同。第三層TLS 1.3 把手足口從兩次砍到一次。TLS 1.2 的 2-RTTClientHello 協(xié)商密碼套件 → ServerHello證書密鑰交換參數(shù) → 客戶端回 Finished → 服務(wù)端再回 Finished而且靜態(tài) RSA 密鑰交換無前向保密還合法存在。1.3RFC 8446做了三件事ClientHello 里直接帶 key_share把協(xié)商變成賭一把默認(rèn)賭不中再各退一步多走一輪握手過程本身被加密證書在加密通道里傳廢掉 RSA 密鑰交換、CBC 老套件只留 AEADAES-GCM/ChaCha20-Poly1305與 ECDHE——前向保密從可選項(xiàng)變成強(qiáng)制項(xiàng)今天抓的密文將來服務(wù)器私鑰泄露也解不開。恢復(fù)會(huì)話走 PSK 只要 1-RTT 且不傳證書鏈再往前一步是 0-RTT客戶端憑上次會(huì)話票據(jù)在第一個(gè)飛行包里就把應(yīng)用數(shù)據(jù)發(fā)出去——代價(jià)是早期數(shù)據(jù)可被重放副作用請(qǐng)求禁用。第四層握手機(jī)制里兩個(gè)容易被忽略的細(xì)節(jié)。其一是 SNIRFC 6066ClientHello 里明文帶目標(biāo)域名一臺(tái) IP 托管幾十個(gè) HTTPS 站點(diǎn)全靠它選證書——這也意味著你的訪問了哪些域名在握手中途是裸奔的ECH 加密 SNI 就是沖這個(gè)來的排障時(shí)拿到一張別的域名的證書多半是 SNI 沒發(fā)出去被回了默認(rèn)證書。其二是 ACMERFC 8555自動(dòng)化Let’s Encrypt 把申請(qǐng)→域名驗(yàn)證→簽發(fā)→續(xù)期變成腳本證書有效期被壓到 90 天證書的私鑰長存時(shí)代結(jié)束生命周期管理成為主要矛盾——過期事故從罕見變成不自動(dòng)化就必然。第一次代碼實(shí)驗(yàn)及輸出回環(huán)上跑真實(shí) TLS 握手本機(jī)用 openssl 生成自簽根 CA 與一張帶 SAN 的服務(wù)器證書Python ssl 起 TLS 服務(wù)端客戶端跑兩個(gè)案例——A 用默認(rèn)行為不認(rèn)我們的根看驗(yàn)證失敗長什么樣B 把根 CA 加載進(jìn)信任庫后看握手成功、協(xié)商結(jié)果與證書檔案。PROTOCOL_TLS_CLIENT默認(rèn)就是驗(yàn)證證書 驗(yàn)證主機(jī)名這是它和裸 SSLContext 的最大區(qū)別。importosimportsocketimportsslimportsubprocessimporttempfileimportthreading TMPtempfile.mkdtemp()defsh(*args):rsubprocess.run([openssl,*args],capture_outputTrue)assertr.returncode0,r.stderr.decode(utf-8,replace)# 1) 本機(jī)生成兩級(jí)證書: 自簽根 CA 由 CA 簽發(fā)的服務(wù)器證書(帶 SAN)sh(req,-x509,-newkey,rsa:2048,-keyout,TMP/ca.key,-out,TMP/ca.pem,-subj,/CNdemo-root-ca,-days,3650,-noenc)sh(req,-new,-newkey,rsa:2048,-keyout,TMP/srv.key,-out,TMP/srv.csr,-subj,/CNdemo-server,-noenc)withopen(TMP/san.cnf,w)asf:f.write(subjectAltNameDNS:demo.local\nbasicConstraintscritical,CA:FALSE\n)sh(x509,-req,-in,TMP/srv.csr,-CA,TMP/ca.pem,-CAkey,TMP/ca.key,-set_serial,7,-days,3650,-extfile,TMP/san.cnf,-out,TMP/srv.pem)ctx_sssl.SSLContext(ssl.PROTOCOL_TLS_SERVER)ctx_s.load_cert_chain(TMP/srv.pem,TMP/srv.key)srvsocket.socket()srv.bind((127.0.0.1,0))srv.listen(1)portsrv.getsockname()[1]servedthreading.Event()defone_shot_server():raw,_srv.accept()served.set()try:connctx_s.wrap_socket(raw,server_sideTrue)conn.close()exceptOSError:raw.close()# 案例A: 客戶端拒收證書, 握手中途被對(duì)端中止defclient_case(tag,setup):ctxssl.SSLContext(ssl.PROTOCOL_TLS_CLIENT)# 默認(rèn): 校驗(yàn)證書 校驗(yàn)主機(jī)名setup(ctx)tthreading.Thread(targetone_shot_server)t.start()try:withctx.wrap_socket(socket.socket(),server_hostnamedemo.local)ass:s.settimeout(5)s.connect((127.0.0.1,port))certs.getpeercert()print(%s: 握手成功 %s / %s%(tag,s.version(),s.cipher()[0]))print(%s: subject%s issuer%s SAN%s%(tag,dict(x[0]forxincert[subject])[commonName],dict(x[0]forxincert[issuer])[commonName],cert[subjectAltName]))resultTrueexceptssl.SSLCertVerificationErrorase:print(%s: 握手失敗 %s: %s (verify_code%d)%(tag,type(e).__name__,e.verify_message,e.verify_code))resultFalseserved.wait()t.join()served.clear()returnresultdefonly_root(ctx):ctx.load_verify_locations(cafileTMP/ca.pem)# 把 demo 根 CA 加入信任庫print( 案例A: 系統(tǒng)默認(rèn)信任庫(不認(rèn)識(shí) demo-root-ca) )client_case(A,lambdactx:None)print( 案例B: 顯式信任自簽根 CA, 并做主機(jī)名校驗(yàn) )client_case(B,only_root)srv.close()運(yùn)行輸出 案例A: 系統(tǒng)默認(rèn)信任庫(不認(rèn)識(shí) demo-root-ca) A: 握手失敗 SSLCertVerificationError: unable to get local issuer certificate (verify_code20) 案例B: 顯式信任自簽根 CA, 并做主機(jī)名校驗(yàn) B: 握手成功 TLSv1.3 / TLS_AES_256_GCM_SHA384 B: subjectdemo-server issuerdemo-root-ca SAN((DNS, demo.local),)三行輸出把信任模型講透了。案例 A 的verify_code20是 OpenSSL 的X509_V_ERR_UNABLE_TO_GET_LOCAL_ISSUER_CERTIFICATE注意報(bào)錯(cuò)不是證書無效而是我找不到簽發(fā)它的那一級(jí)——葉子證書本身完好、SAN 也對(duì)缺的只是信任錨。這與你漏發(fā)中間證書時(shí)線上看到的報(bào)錯(cuò)是同一個(gè)錯(cuò)誤碼驗(yàn)證器永遠(yuǎn)在問你的鏈到哪兒斷的而不是你的證書好不好看。案例 B 里唯一的改動(dòng)是load_verify_locations(cafile...)——信任庫一加握手即成同時(shí)打印出協(xié)商結(jié)果 TLS 1.3 TLS_AES_256_GCM_SHA384這正是 1.3 把套件砍到只剩 AEAD 后的典型首選項(xiàng)getpeercert()返回的 subject/issuer/SAN 三元組就是鏈構(gòu)建算法的輸入?；丨h(huán)上你既是 CA 又是用戶這個(gè)實(shí)驗(yàn)值得改幾處再跑把server_hostname換成other.local看主機(jī)名校驗(yàn)報(bào)Hostname mismatch把 san.cnf 的 SAN 刪掉看現(xiàn)代驗(yàn)證器直接拒絕純 CN 證書。工程化改進(jìn)第一步把服務(wù)端證書鏈配到教科書正確。Nginx/Apache 的證書文件必須是fullchain.pem 葉子 中間順序 leaf→intermediate不含根配完用openssl s_client -connect host:443 -servername demo.local -brief驗(yàn)一遍重點(diǎn)看輸出尾部Verify return code: 0 (ok)與----- Certificate chain -----段數(shù)——只列出一段就是漏中間。續(xù)期用 ACME 客戶端certbot 或 acme.sh掛 cron證書監(jiān)控只看剩余天數(shù)不夠要每天跑一次完整鏈驗(yàn)證 到期檢查的合成撥測(cè)因?yàn)殒湐嗔押瓦^期一樣會(huì)讓握手終止。第二步把握手的錢算進(jìn)架構(gòu)賬下一篇 DNS 還要再加一筆。80ms RTT 的移動(dòng)網(wǎng)絡(luò)一次DNSTCPTLS1.2請(qǐng)求的冷啟動(dòng)是 5~6 個(gè) RTT 起步——這正是上一篇 HTTP/2/3 復(fù)用價(jià)值的量化版會(huì)話恢復(fù)session resumption ticket讓回訪用戶從 2-RTT 掉到 1-RTTQUIC 把 TCPTLS 合并成一次飛行。服務(wù)端側(cè)可操作項(xiàng)開啟ssl_session_cache shared與 1.3 的 NewSessionTicket、CDN 邊緣終止 TLS 回源走內(nèi)網(wǎng)長連接讓最貴的完整握手只發(fā)生一次。第三步客戶端驗(yàn)證紀(jì)律寫進(jìn)紅線。任何語言里verifyFalse/SSL_CERT_FILE全局繞過/自定義InsecureSkipVerify都必須走評(píng)審并寫明替代方案內(nèi)部服務(wù)用私有 CA 簽證書、把根證書隨應(yīng)用分發(fā)pinning 慎用過期即事故而不是關(guān)掉驗(yàn)證。mTLS雙向認(rèn)證是內(nèi)部零信任的正解ctx.verify_mode ssl.CERT_REQUIREDctx.load_verify_locations客戶端證書網(wǎng)關(guān)側(cè)再驗(yàn)一次。第四步認(rèn)清中間人檢測(cè)的指紋。企業(yè)代理、抓包工具能解 HTTPS 的唯一辦法是往你的信任庫里塞一張它自己的根 CA然后用它現(xiàn)場(chǎng)簽一張域名的葉子證書。openssl s_client ... | openssl x509 -noout -issuer看到簽發(fā)者不是你以為的 CA比如各種 “Proxifier CA”、mitmproxy就說明流量在被中間人反過來這也解釋了你抓包時(shí)為什么手機(jī) App 拒連——它做了證書固定。第二次代碼實(shí)驗(yàn)及輸出把 X.509 路徑構(gòu)建與握手的往返賬寫成確定性模型證書庫存放 subject→(issuer, 到期日, CA 標(biāo)志, SAN)信任錨固定驗(yàn)證器從葉子出發(fā)逐級(jí)找簽發(fā)者同時(shí)檢查有效期與主機(jī)名匹配——這就是實(shí)驗(yàn)一里 OpenSSL 報(bào) verify_code20 時(shí)內(nèi)部在做的事。NOW2026-09-25# 固定今天, 保證結(jié)果可復(fù)現(xiàn)# 證書庫: subject - 檔案 (issuer / 到期日 / 是否 CA / SAN)STORE{demo-server:dict(issuerdemo-inter-ca,not_after2026-12-31,caFalse,san[demo.local,www.demo.local]),demo-inter-ca:dict(issuerdemo-root-ca,not_after2027-06-30,caTrue,san[]),demo-root-ca:dict(issuerdemo-root-ca,not_after2030-01-01,caTrue,san[]),legacy-root:dict(issuerlegacy-root,not_after2024-01-01,caTrue,san[]),exp-server:dict(issuerdemo-inter-ca,not_after2025-03-01,caFalse,san[demo.local]),orphan-server:dict(issuerghost-inter-ca,not_after2026-12-31,caFalse,san[demo.local]),}TRUSTED{demo-root-ca}# 信任錨defverify_chain(leaf,host):X.509 路徑構(gòu)建: 從葉子向上按 issuer 找簽發(fā)者, 直到命中信任錨chain,seen[],set()curleafwhileTrue:ifcurinseen:returnNone,循環(huán)簽發(fā)(chain loop)seen.add(cur)certSTORE.get(cur)ifcertisNone:returnNone,unable to get local issuer certificate(缺中間證書)chain.append(cur)ifcert[not_after]NOW:returnNone,certificate has expired (%s 到期 %s)%(cur,cert[not_after])ifcert[issuer]cur:# 自簽: 只有信任錨可作終點(diǎn)ifcurinTRUSTED:breakreturnNone,自簽證書不在信任錨, 拒絕issuerSTORE.get(cert[issuer])ifissuerisNone:returnNone,unable to get local issuer certificate(缺 %s)%cert[issuer]ifnotissuer[ca]:returnNone,%s 的簽發(fā)者不是 CA%cert[issuer]curcert[issuer]leaf_certSTORE[leaf]ifhostnotinleaf_cert[san]:returnNone,hostname mismatch: %s 不在 SAN %s%(host,leaf_cert[san])returnchain,OKforleaf,hostin[(demo-server,demo.local),# 正常: 逐級(jí)到信任根(demo-server,api.demo.local),# 域名不在 SAN(exp-server,demo.local),# 葉子已過期(orphan-server,demo.local),# 缺中間證書(legacy-root,legacy.local),# 根已過期]:chain,whyverify_chain(leaf,host)print(%-12s 請(qǐng)求 %-14s - %-4s %s%(leaf,host,whyifchainelseFAIL,鏈: - .join(reversed(chain))ifchainelsewhy))print()print( TLS 建連成本模型 (RTT80ms, 證書鏈 4KB, 帶寬 10Mbps) )RTT,CERT_KB,BW80,4,10cert_msCERT_KB*8/BWdefsetup_ms(handshake_rtt,with_certTrue):returnhandshake_rtt*RTT(cert_msifwith_certelse0)forname,ms,notein[(TLS1.2 完整握手(2-RTT),setup_ms(2),CH-SH,Cert,SKD-CKE,Fin-SFin),(TLS1.3 完整握手(1-RTT),setup_ms(1),CHkey_share - SHCertFin),(TLS1.3 會(huì)話恢復(fù)(1-RTT),setup_ms(1,False),PSK 派生, 不再傳證書鏈),(TLS1.3 0-RTT(早期數(shù)據(jù)),0,ClientHello 即攜帶請(qǐng)求, 有重放風(fēng)險(xiǎn)),]:print(%-24s 建連耗時(shí) %6.1f ms, 加上應(yīng)用首字節(jié)(1 RTT)共 %6.1f ms [%s]%(name,ms,msRTT,note))運(yùn)行輸出demo-server 請(qǐng)求 demo.local - OK 鏈: demo-root-ca - demo-inter-ca - demo-server demo-server 請(qǐng)求 api.demo.local - FAIL hostname mismatch: api.demo.local 不在 SAN [demo.local, www.demo.local] exp-server 請(qǐng)求 demo.local - FAIL certificate has expired (exp-server 到期 2025-03-01) orphan-server 請(qǐng)求 demo.local - FAIL unable to get local issuer certificate(缺 ghost-inter-ca) legacy-root 請(qǐng)求 legacy.local - FAIL certificate has expired (legacy-root 到期 2024-01-01) TLS 建連成本模型 (RTT80ms, 證書鏈 4KB, 帶寬 10Mbps) TLS1.2 完整握手(2-RTT) 建連耗時(shí) 163.2 ms, 加上應(yīng)用首字節(jié)(1 RTT)共 243.2 ms [CH-SH,Cert,SKD-CKE,Fin-SFin] TLS1.3 完整握手(1-RTT) 建連耗時(shí) 83.2 ms, 加上應(yīng)用首字節(jié)(1 RTT)共 163.2 ms [CHkey_share - SHCertFin] TLS1.3 會(huì)話恢復(fù)(1-RTT) 建連耗時(shí) 80.0 ms, 加上應(yīng)用首字節(jié)(1 RTT)共 160.0 ms [PSK 派生, 不再傳證書鏈] TLS1.3 0-RTT(早期數(shù)據(jù)) 建連耗時(shí) 0.0 ms, 加上應(yīng)用首字節(jié)(1 RTT)共 80.0 ms [ClientHello 即攜帶請(qǐng)求, 有重放風(fēng)險(xiǎn)]五例驗(yàn)證幾乎對(duì)應(yīng)了線上全部工單類型鏈完整→OK域名不在 SAN→mismatch這是證書明明對(duì)卻拒連的第一名原因多域名服務(wù)必須把新域名加進(jìn) SAN 重簽葉子過期、根過期報(bào)錯(cuò)都是certificate has expired但處置完全不同——葉子續(xù)期重簽即可根過期意味著整個(gè)信任庫要發(fā)新版客戶端缺中間證書則復(fù)現(xiàn)了實(shí)驗(yàn) A 的unable to get local issuer certificate。成本表是協(xié)議選型的一頁紙總結(jié)1.2→1.3 省的不只是那 80ms更是完整握手概率——移動(dòng)網(wǎng)絡(luò)一天切換十次網(wǎng)絡(luò)就是十次握手恢復(fù)和 0-RTT 的存在讓 TLS 成本從每次變成首次而 0-RTT 那行標(biāo)注的重放風(fēng)險(xiǎn)工程守則一句話GET 可以 0-RTTPOST 下單絕對(duì)不行。常見陷阱其一只認(rèn)證書沒過期卻不管鏈到期日是儀表盤指標(biāo)鏈斷裂同樣讓 verify_code20 上線兩者都要撥測(cè)覆蓋。其二把verifyFalse當(dāng)調(diào)試常態(tài)內(nèi)網(wǎng)服務(wù)自簽一張證書然后全員跳過驗(yàn)證等于把 HTTPS 降級(jí)成加密但誰都可以是服務(wù)器——正確姿勢(shì)是自建內(nèi)部 CA 并把根證書分發(fā)到各運(yùn)行環(huán)境。其三SNI 與默認(rèn)證書烏龍客戶端不發(fā) SNI老客戶端、裸 IP 訪問、某些健康檢查時(shí)服務(wù)器回默認(rèn)證書排查時(shí)看到的是域名和證書不匹配根因卻是請(qǐng)求壓根沒帶域名。其四中間人工具的信任庫污染裝過抓包工具/企業(yè)代理的機(jī)器信任庫里多了野根 CA普通站點(diǎn)的證書突然能解了——排障時(shí)先-issuer看一眼簽發(fā)者再懷疑網(wǎng)站。其五把密鑰長度當(dāng)安全感2048 位 RSA 夠用真正決定生死的是算法是否有前向保密1.3 強(qiáng)制、私鑰保管與吊銷、生命周期自動(dòng)化換 4096 位密鑰的工單多半是無效勞動(dòng)。其六證書自動(dòng)續(xù)期沒監(jiān)控ACME 腳本靜默失敗兩周后全站握手拒絕續(xù)期任務(wù)必須帶剩余天數(shù)告警 失敗重試雙保險(xiǎn)。落地清單Nginx/Apache 只配 fullchain葉子中間不含根發(fā)布后openssl s_client -servername 域名 -brief驗(yàn)Verify return code: 0證書掛 ACME 自動(dòng)續(xù)期撥測(cè)同時(shí)盯到期天數(shù)與完整鏈可達(dá)兩個(gè)指標(biāo)客戶端永不跳過驗(yàn)證內(nèi)部服務(wù)自建 CA、隨應(yīng)用分發(fā)根證書服務(wù)間上 mTLS1.3 會(huì)話恢復(fù)與 TLS ticket 緩存開啟冷握手多的業(yè)務(wù)優(yōu)先 QUIC 合并握手排查證書正確卻失敗背好三句找不到簽發(fā)者鏈斷、hostname mismatchSAN 缺域名、expired續(xù)期/信任庫過期HTTPS 的握手稅講完了但冷啟動(dòng)清單里還有一筆更早的賬沒算拿到demo.local這個(gè)名字到連上 IP 之間還隔著一次常常被忽略的查詢——DNS。下一篇《網(wǎng)絡(luò)協(xié)議實(shí)戰(zhàn)5DNS 解析原理與排障》用 socket.getaddrinfo 和解包器把域名變 IP這條隱形鏈路徹底顯形。參考來源RFC 8446: The Transport Layer Security (TLS) Protocol Version 1.3: https://datatracker.ietf.org/doc/html/rfc8446RFC 5280: Internet X.509 Public Key Infrastructure Certificate and CRL Profile: https://datatracker.ietf.org/doc/html/rfc5280RFC 6066: TLS Extensions for SNI: https://datatracker.ietf.org/doc/html/rfc6066RFC 8555: Automatic Certificate Management Environment (ACME): https://datatracker.ietf.org/doc/html/rfc8555WikipediaTransport Layer Securityhttps://en.wikipedia.org/wiki/Transport_Layer_Security 覺得有用就點(diǎn)個(gè)贊 收藏方便回頭查閱有疑問直接在評(píng)論區(qū)留言我看到都會(huì)回。 本文屬于《網(wǎng)絡(luò)協(xié)議實(shí)戰(zhàn)》系列持續(xù)更新關(guān)注不迷路。 文章里的代碼都能直接跑。想要可直接 clone 的完整工程 配套部署腳本 / 踩坑清單評(píng)論一聲或發(fā)郵件到cj2664qq.com我免費(fèi)發(fā)你。如果你正好在做類似系統(tǒng)、或有工程化難題想找人做也歡迎郵件聊一句——我按實(shí)際情況評(píng)估能落地的就接單或出方案。評(píng)論和郵件都能直接找到我不用跳別的平臺(tái)。 網(wǎng)絡(luò)協(xié)議實(shí)戰(zhàn)（4）：HTTPS 與 TLS 握手證書機(jī)制
問題背景上一篇結(jié)尾說過HTTP 每一代演進(jìn)的固定成本里最貴的一塊就是 TLS1.1 的HTTPS 慢、2.0 的單連接復(fù)用、3.0 的 0-RTT全都在跟這一筆握手稅較勁。而現(xiàn)場(chǎng)故障也從沒繞開它證書到期只砸中部分用戶有人緩存了舊鏈、有的客戶端不補(bǔ)中間證書curl -v里明明看到證書Issued to正確卻報(bào)unable to get local issuer certificate內(nèi)部服務(wù)互調(diào)時(shí)有人圖省事寫了verifyFalse滲透測(cè)試報(bào)告直接把這條列成高危還有公司代理能抓 HTTPS 包背后那套簽發(fā)機(jī)制到底安不安全。要從容處理這些需要同時(shí)握住兩條線證書線信任是怎么從一根自簽根一路傳遞到你的瀏覽器地址欄的和握手線一次 TLS 建連到底交換了什么、付了幾次往返。本篇兩條線都用真實(shí)驗(yàn)落地先用 Python 標(biāo)準(zhǔn)庫 ssl 在回環(huán)上跑一次真實(shí) TLS 1.3 握手——本機(jī) openssl 生成根 CA 服務(wù)器證書兩級(jí)鏈親眼看信任庫如何決定握手成敗再用確定性模型解剖 X.509 路徑構(gòu)建算法和 1.2/1.3/恢復(fù)/0-RTT 四種建連成本。核心原理第一層公鑰不安全信任才安全。TLS 要解決的問題一句話讓客戶端在一個(gè)誰都可能竊聽、篡改的網(wǎng)絡(luò)里確定和我握手的這臺(tái)服務(wù)器真是 demo.local并且我們之后有一條加密通道。非對(duì)稱加密只解決驗(yàn)簽這半件事——服務(wù)器用私鑰簽握手客戶端用公鑰驗(yàn)。剩下的半件事才是全部難點(diǎn)公鑰本身怎么可信如果有人把公鑰換成他的一切歸零。Web 的答案是一條信任鏈操作系統(tǒng)/瀏覽器出廠內(nèi)置一小批根證書信任錨根 CA 授權(quán)中間 CA中間 CA 對(duì)域名 公鑰 有效期 用途約束這份檔案簽名這份檔案就是服務(wù)器證書。客戶端驗(yàn)證時(shí)從葉子證書出發(fā)簽名驗(yàn)證用上一級(jí)的公鑰驗(yàn)下一級(jí)的指紋→ 有效期 → 基本約束只有CA:TRUE的證書記錄才允許簽發(fā)別人→ 主機(jī)名匹配比對(duì) SAN 列表現(xiàn)代瀏覽器早就不看 CN 了→ 一路走到信任錨。任何一環(huán)斷握手終止部分用戶失敗幾乎都是鏈某一環(huán)在某個(gè)信任庫里狀態(tài)不同。第二層證書鏈里服務(wù)器該發(fā)什么。鏈?zhǔn)莑eaf → intermediate → root但服務(wù)器只該發(fā)前兩段不該發(fā)根根證書客戶端本地就有多發(fā)一截浪費(fèi)帶寬更隱蔽的坑是——不少客戶端歷史上尤其 Android 和部分庫不會(huì)替你補(bǔ)中間證書服務(wù)器漏發(fā)中間段它就拼不出到錨的路徑報(bào)的就是那個(gè)熟悉的unable to get local issuer certificate。而為什么有的能打開有的不能正是各家補(bǔ)鏈策略不同。第三層TLS 1.3 把手足口從兩次砍到一次。TLS 1.2 的 2-RTTClientHello 協(xié)商密碼套件 → ServerHello證書密鑰交換參數(shù) → 客戶端回 Finished → 服務(wù)端再回 Finished而且靜態(tài) RSA 密鑰交換無前向保密還合法存在。1.3RFC 8446做了三件事ClientHello 里直接帶 key_share把協(xié)商變成賭一把默認(rèn)賭不中再各退一步多走一輪握手過程本身被加密證書在加密通道里傳廢掉 RSA 密鑰交換、CBC 老套件只留 AEADAES-GCM/ChaCha20-Poly1305與 ECDHE——前向保密從可選項(xiàng)變成強(qiáng)制項(xiàng)今天抓的密文將來服務(wù)器私鑰泄露也解不開。恢復(fù)會(huì)話走 PSK 只要 1-RTT 且不傳證書鏈再往前一步是 0-RTT客戶端憑上次會(huì)話票據(jù)在第一個(gè)飛行包里就把應(yīng)用數(shù)據(jù)發(fā)出去——代價(jià)是早期數(shù)據(jù)可被重放副作用請(qǐng)求禁用。第四層握手機(jī)制里兩個(gè)容易被忽略的細(xì)節(jié)。其一是 SNIRFC 6066ClientHello 里明文帶目標(biāo)域名一臺(tái) IP 托管幾十個(gè) HTTPS 站點(diǎn)全靠它選證書——這也意味著你的訪問了哪些域名在握手中途是裸奔的ECH 加密 SNI 就是沖這個(gè)來的排障時(shí)拿到一張別的域名的證書多半是 SNI 沒發(fā)出去被回了默認(rèn)證書。其二是 ACMERFC 8555自動(dòng)化Let’s Encrypt 把申請(qǐng)→域名驗(yàn)證→簽發(fā)→續(xù)期變成腳本證書有效期被壓到 90 天證書的私鑰長存時(shí)代結(jié)束生命周期管理成為主要矛盾——過期事故從罕見變成不自動(dòng)化就必然。第一次代碼實(shí)驗(yàn)及輸出回環(huán)上跑真實(shí) TLS 握手本機(jī)用 openssl 生成自簽根 CA 與一張帶 SAN 的服務(wù)器證書Python ssl 起 TLS 服務(wù)端客戶端跑兩個(gè)案例——A 用默認(rèn)行為不認(rèn)我們的根看驗(yàn)證失敗長什么樣B 把根 CA 加載進(jìn)信任庫后看握手成功、協(xié)商結(jié)果與證書檔案。PROTOCOL_TLS_CLIENT默認(rèn)就是驗(yàn)證證書 驗(yàn)證主機(jī)名這是它和裸 SSLContext 的最大區(qū)別。importosimportsocketimportsslimportsubprocessimporttempfileimportthreading TMPtempfile.mkdtemp()defsh(*args):rsubprocess.run([openssl,*args],capture_outputTrue)assertr.returncode0,r.stderr.decode(utf-8,replace)# 1) 本機(jī)生成兩級(jí)證書: 自簽根 CA 由 CA 簽發(fā)的服務(wù)器證書(帶 SAN)sh(req,-x509,-newkey,rsa:2048,-keyout,TMP/ca.key,-out,TMP/ca.pem,-subj,/CNdemo-root-ca,-days,3650,-noenc)sh(req,-new,-newkey,rsa:2048,-keyout,TMP/srv.key,-out,TMP/srv.csr,-subj,/CNdemo-server,-noenc)withopen(TMP/san.cnf,w)asf:f.write(subjectAltNameDNS:demo.local\nbasicConstraintscritical,CA:FALSE\n)sh(x509,-req,-in,TMP/srv.csr,-CA,TMP/ca.pem,-CAkey,TMP/ca.key,-set_serial,7,-days,3650,-extfile,TMP/san.cnf,-out,TMP/srv.pem)ctx_sssl.SSLContext(ssl.PROTOCOL_TLS_SERVER)ctx_s.load_cert_chain(TMP/srv.pem,TMP/srv.key)srvsocket.socket()srv.bind((127.0.0.1,0))srv.listen(1)portsrv.getsockname()[1]servedthreading.Event()defone_shot_server():raw,_srv.accept()served.set()try:connctx_s.wrap_socket(raw,server_sideTrue)conn.close()exceptOSError:raw.close()# 案例A: 客戶端拒收證書, 握手中途被對(duì)端中止defclient_case(tag,setup):ctxssl.SSLContext(ssl.PROTOCOL_TLS_CLIENT)# 默認(rèn): 校驗(yàn)證書 校驗(yàn)主機(jī)名setup(ctx)tthreading.Thread(targetone_shot_server)t.start()try:withctx.wrap_socket(socket.socket(),server_hostnamedemo.local)ass:s.settimeout(5)s.connect((127.0.0.1,port))certs.getpeercert()print(%s: 握手成功 %s / %s%(tag,s.version(),s.cipher()[0]))print(%s: subject%s issuer%s SAN%s%(tag,dict(x[0]forxincert[subject])[commonName],dict(x[0]forxincert[issuer])[commonName],cert[subjectAltName]))resultTrueexceptssl.SSLCertVerificationErrorase:print(%s: 握手失敗 %s: %s (verify_code%d)%(tag,type(e).__name__,e.verify_message,e.verify_code))resultFalseserved.wait()t.join()served.clear()returnresultdefonly_root(ctx):ctx.load_verify_locations(cafileTMP/ca.pem)# 把 demo 根 CA 加入信任庫print( 案例A: 系統(tǒng)默認(rèn)信任庫(不認(rèn)識(shí) demo-root-ca) )client_case(A,lambdactx:None)print( 案例B: 顯式信任自簽根 CA, 并做主機(jī)名校驗(yàn) )client_case(B,only_root)srv.close()運(yùn)行輸出 案例A: 系統(tǒng)默認(rèn)信任庫(不認(rèn)識(shí) demo-root-ca) A: 握手失敗 SSLCertVerificationError: unable to get local issuer certificate (verify_code20) 案例B: 顯式信任自簽根 CA, 并做主機(jī)名校驗(yàn) B: 握手成功 TLSv1.3 / TLS_AES_256_GCM_SHA384 B: subjectdemo-server issuerdemo-root-ca SAN((DNS, demo.local),)三行輸出把信任模型講透了。案例 A 的verify_code20是 OpenSSL 的X509_V_ERR_UNABLE_TO_GET_LOCAL_ISSUER_CERTIFICATE注意報(bào)錯(cuò)不是證書無效而是我找不到簽發(fā)它的那一級(jí)——葉子證書本身完好、SAN 也對(duì)缺的只是信任錨。這與你漏發(fā)中間證書時(shí)線上看到的報(bào)錯(cuò)是同一個(gè)錯(cuò)誤碼驗(yàn)證器永遠(yuǎn)在問你的鏈到哪兒斷的而不是你的證書好不好看。案例 B 里唯一的改動(dòng)是load_verify_locations(cafile...)——信任庫一加握手即成同時(shí)打印出協(xié)商結(jié)果 TLS 1.3 TLS_AES_256_GCM_SHA384這正是 1.3 把套件砍到只剩 AEAD 后的典型首選項(xiàng)getpeercert()返回的 subject/issuer/SAN 三元組就是鏈構(gòu)建算法的輸入?；丨h(huán)上你既是 CA 又是用戶這個(gè)實(shí)驗(yàn)值得改幾處再跑把server_hostname換成other.local看主機(jī)名校驗(yàn)報(bào)Hostname mismatch把 san.cnf 的 SAN 刪掉看現(xiàn)代驗(yàn)證器直接拒絕純 CN 證書。工程化改進(jìn)第一步把服務(wù)端證書鏈配到教科書正確。Nginx/Apache 的證書文件必須是fullchain.pem 葉子 中間順序 leaf→intermediate不含根配完用openssl s_client -connect host:443 -servername demo.local -brief驗(yàn)一遍重點(diǎn)看輸出尾部Verify return code: 0 (ok)與----- Certificate chain -----段數(shù)——只列出一段就是漏中間。續(xù)期用 ACME 客戶端certbot 或 acme.sh掛 cron證書監(jiān)控只看剩余天數(shù)不夠要每天跑一次完整鏈驗(yàn)證 到期檢查的合成撥測(cè)因?yàn)殒湐嗔押瓦^期一樣會(huì)讓握手終止。第二步把握手的錢算進(jìn)架構(gòu)賬下一篇 DNS 還要再加一筆。80ms RTT 的移動(dòng)網(wǎng)絡(luò)一次DNSTCPTLS1.2請(qǐng)求的冷啟動(dòng)是 5~6 個(gè) RTT 起步——這正是上一篇 HTTP/2/3 復(fù)用價(jià)值的量化版會(huì)話恢復(fù)session resumption ticket讓回訪用戶從 2-RTT 掉到 1-RTTQUIC 把 TCPTLS 合并成一次飛行。服務(wù)端側(cè)可操作項(xiàng)開啟ssl_session_cache shared與 1.3 的 NewSessionTicket、CDN 邊緣終止 TLS 回源走內(nèi)網(wǎng)長連接讓最貴的完整握手只發(fā)生一次。第三步客戶端驗(yàn)證紀(jì)律寫進(jìn)紅線。任何語言里verifyFalse/SSL_CERT_FILE全局繞過/自定義InsecureSkipVerify都必須走評(píng)審并寫明替代方案內(nèi)部服務(wù)用私有 CA 簽證書、把根證書隨應(yīng)用分發(fā)pinning 慎用過期即事故而不是關(guān)掉驗(yàn)證。mTLS雙向認(rèn)證是內(nèi)部零信任的正解ctx.verify_mode ssl.CERT_REQUIREDctx.load_verify_locations客戶端證書網(wǎng)關(guān)側(cè)再驗(yàn)一次。第四步認(rèn)清中間人檢測(cè)的指紋。企業(yè)代理、抓包工具能解 HTTPS 的唯一辦法是往你的信任庫里塞一張它自己的根 CA然后用它現(xiàn)場(chǎng)簽一張域名的葉子證書。openssl s_client ... | openssl x509 -noout -issuer看到簽發(fā)者不是你以為的 CA比如各種 “Proxifier CA”、mitmproxy就說明流量在被中間人反過來這也解釋了你抓包時(shí)為什么手機(jī) App 拒連——它做了證書固定。第二次代碼實(shí)驗(yàn)及輸出把 X.509 路徑構(gòu)建與握手的往返賬寫成確定性模型證書庫存放 subject→(issuer, 到期日, CA 標(biāo)志, SAN)信任錨固定驗(yàn)證器從葉子出發(fā)逐級(jí)找簽發(fā)者同時(shí)檢查有效期與主機(jī)名匹配——這就是實(shí)驗(yàn)一里 OpenSSL 報(bào) verify_code20 時(shí)內(nèi)部在做的事。NOW2026-09-25# 固定今天, 保證結(jié)果可復(fù)現(xiàn)# 證書庫: subject - 檔案 (issuer / 到期日 / 是否 CA / SAN)STORE{demo-server:dict(issuerdemo-inter-ca,not_after2026-12-31,caFalse,san[demo.local,www.demo.local]),demo-inter-ca:dict(issuerdemo-root-ca,not_after2027-06-30,caTrue,san[]),demo-root-ca:dict(issuerdemo-root-ca,not_after2030-01-01,caTrue,san[]),legacy-root:dict(issuerlegacy-root,not_after2024-01-01,caTrue,san[]),exp-server:dict(issuerdemo-inter-ca,not_after2025-03-01,caFalse,san[demo.local]),orphan-server:dict(issuerghost-inter-ca,not_after2026-12-31,caFalse,san[demo.local]),}TRUSTED{demo-root-ca}# 信任錨defverify_chain(leaf,host):X.509 路徑構(gòu)建: 從葉子向上按 issuer 找簽發(fā)者, 直到命中信任錨chain,seen[],set()curleafwhileTrue:ifcurinseen:returnNone,循環(huán)簽發(fā)(chain loop)seen.add(cur)certSTORE.get(cur)ifcertisNone:returnNone,unable to get local issuer certificate(缺中間證書)chain.append(cur)ifcert[not_after]NOW:returnNone,certificate has expired (%s 到期 %s)%(cur,cert[not_after])ifcert[issuer]cur:# 自簽: 只有信任錨可作終點(diǎn)ifcurinTRUSTED:breakreturnNone,自簽證書不在信任錨, 拒絕issuerSTORE.get(cert[issuer])ifissuerisNone:returnNone,unable to get local issuer certificate(缺 %s)%cert[issuer]ifnotissuer[ca]:returnNone,%s 的簽發(fā)者不是 CA%cert[issuer]curcert[issuer]leaf_certSTORE[leaf]ifhostnotinleaf_cert[san]:returnNone,hostname mismatch: %s 不在 SAN %s%(host,leaf_cert[san])returnchain,OKforleaf,hostin[(demo-server,demo.local),# 正常: 逐級(jí)到信任根(demo-server,api.demo.local),# 域名不在 SAN(exp-server,demo.local),# 葉子已過期(orphan-server,demo.local),# 缺中間證書(legacy-root,legacy.local),# 根已過期]:chain,whyverify_chain(leaf,host)print(%-12s 請(qǐng)求 %-14s - %-4s %s%(leaf,host,whyifchainelseFAIL,鏈: - .join(reversed(chain))ifchainelsewhy))print()print( TLS 建連成本模型 (RTT80ms, 證書鏈 4KB, 帶寬 10Mbps) )RTT,CERT_KB,BW80,4,10cert_msCERT_KB*8/BWdefsetup_ms(handshake_rtt,with_certTrue):returnhandshake_rtt*RTT(cert_msifwith_certelse0)forname,ms,notein[(TLS1.2 完整握手(2-RTT),setup_ms(2),CH-SH,Cert,SKD-CKE,Fin-SFin),(TLS1.3 完整握手(1-RTT),setup_ms(1),CHkey_share - SHCertFin),(TLS1.3 會(huì)話恢復(fù)(1-RTT),setup_ms(1,False),PSK 派生, 不再傳證書鏈),(TLS1.3 0-RTT(早期數(shù)據(jù)),0,ClientHello 即攜帶請(qǐng)求, 有重放風(fēng)險(xiǎn)),]:print(%-24s 建連耗時(shí) %6.1f ms, 加上應(yīng)用首字節(jié)(1 RTT)共 %6.1f ms [%s]%(name,ms,msRTT,note))運(yùn)行輸出demo-server 請(qǐng)求 demo.local - OK 鏈: demo-root-ca - demo-inter-ca - demo-server demo-server 請(qǐng)求 api.demo.local - FAIL hostname mismatch: api.demo.local 不在 SAN [demo.local, www.demo.local] exp-server 請(qǐng)求 demo.local - FAIL certificate has expired (exp-server 到期 2025-03-01) orphan-server 請(qǐng)求 demo.local - FAIL unable to get local issuer certificate(缺 ghost-inter-ca) legacy-root 請(qǐng)求 legacy.local - FAIL certificate has expired (legacy-root 到期 2024-01-01) TLS 建連成本模型 (RTT80ms, 證書鏈 4KB, 帶寬 10Mbps) TLS1.2 完整握手(2-RTT) 建連耗時(shí) 163.2 ms, 加上應(yīng)用首字節(jié)(1 RTT)共 243.2 ms [CH-SH,Cert,SKD-CKE,Fin-SFin] TLS1.3 完整握手(1-RTT) 建連耗時(shí) 83.2 ms, 加上應(yīng)用首字節(jié)(1 RTT)共 163.2 ms [CHkey_share - SHCertFin] TLS1.3 會(huì)話恢復(fù)(1-RTT) 建連耗時(shí) 80.0 ms, 加上應(yīng)用首字節(jié)(1 RTT)共 160.0 ms [PSK 派生, 不再傳證書鏈] TLS1.3 0-RTT(早期數(shù)據(jù)) 建連耗時(shí) 0.0 ms, 加上應(yīng)用首字節(jié)(1 RTT)共 80.0 ms [ClientHello 即攜帶請(qǐng)求, 有重放風(fēng)險(xiǎn)]五例驗(yàn)證幾乎對(duì)應(yīng)了線上全部工單類型鏈完整→OK域名不在 SAN→mismatch這是證書明明對(duì)卻拒連的第一名原因多域名服務(wù)必須把新域名加進(jìn) SAN 重簽葉子過期、根過期報(bào)錯(cuò)都是certificate has expired但處置完全不同——葉子續(xù)期重簽即可根過期意味著整個(gè)信任庫要發(fā)新版客戶端缺中間證書則復(fù)現(xiàn)了實(shí)驗(yàn) A 的unable to get local issuer certificate。成本表是協(xié)議選型的一頁紙總結(jié)1.2→1.3 省的不只是那 80ms更是完整握手概率——移動(dòng)網(wǎng)絡(luò)一天切換十次網(wǎng)絡(luò)就是十次握手恢復(fù)和 0-RTT 的存在讓 TLS 成本從每次變成首次而 0-RTT 那行標(biāo)注的重放風(fēng)險(xiǎn)工程守則一句話GET 可以 0-RTTPOST 下單絕對(duì)不行。常見陷阱其一只認(rèn)證書沒過期卻不管鏈到期日是儀表盤指標(biāo)鏈斷裂同樣讓 verify_code20 上線兩者都要撥測(cè)覆蓋。其二把verifyFalse當(dāng)調(diào)試常態(tài)內(nèi)網(wǎng)服務(wù)自簽一張證書然后全員跳過驗(yàn)證等于把 HTTPS 降級(jí)成加密但誰都可以是服務(wù)器——正確姿勢(shì)是自建內(nèi)部 CA 并把根證書分發(fā)到各運(yùn)行環(huán)境。其三SNI 與默認(rèn)證書烏龍客戶端不發(fā) SNI老客戶端、裸 IP 訪問、某些健康檢查時(shí)服務(wù)器回默認(rèn)證書排查時(shí)看到的是域名和證書不匹配根因卻是請(qǐng)求壓根沒帶域名。其四中間人工具的信任庫污染裝過抓包工具/企業(yè)代理的機(jī)器信任庫里多了野根 CA普通站點(diǎn)的證書突然能解了——排障時(shí)先-issuer看一眼簽發(fā)者再懷疑網(wǎng)站。其五把密鑰長度當(dāng)安全感2048 位 RSA 夠用真正決定生死的是算法是否有前向保密1.3 強(qiáng)制、私鑰保管與吊銷、生命周期自動(dòng)化換 4096 位密鑰的工單多半是無效勞動(dòng)。其六證書自動(dòng)續(xù)期沒監(jiān)控ACME 腳本靜默失敗兩周后全站握手拒絕續(xù)期任務(wù)必須帶剩余天數(shù)告警 失敗重試雙保險(xiǎn)。落地清單Nginx/Apache 只配 fullchain葉子中間不含根發(fā)布后openssl s_client -servername 域名 -brief驗(yàn)Verify return code: 0證書掛 ACME 自動(dòng)續(xù)期撥測(cè)同時(shí)盯到期天數(shù)與完整鏈可達(dá)兩個(gè)指標(biāo)客戶端永不跳過驗(yàn)證內(nèi)部服務(wù)自建 CA、隨應(yīng)用分發(fā)根證書服務(wù)間上 mTLS1.3 會(huì)話恢復(fù)與 TLS ticket 緩存開啟冷握手多的業(yè)務(wù)優(yōu)先 QUIC 合并握手排查證書正確卻失敗背好三句找不到簽發(fā)者鏈斷、hostname mismatchSAN 缺域名、expired續(xù)期/信任庫過期HTTPS 的握手稅講完了但冷啟動(dòng)清單里還有一筆更早的賬沒算拿到demo.local這個(gè)名字到連上 IP 之間還隔著一次常常被忽略的查詢——DNS。下一篇《網(wǎng)絡(luò)協(xié)議實(shí)戰(zhàn)5DNS 解析原理與排障》用 socket.getaddrinfo 和解包器把域名變 IP這條隱形鏈路徹底顯形。參考來源RFC 8446: The Transport Layer Security (TLS) Protocol Version 1.3: https://datatracker.ietf.org/doc/html/rfc8446RFC 5280: Internet X.509 Public Key Infrastructure Certificate and CRL Profile: https://datatracker.ietf.org/doc/html/rfc5280RFC 6066: TLS Extensions for SNI: https://datatracker.ietf.org/doc/html/rfc6066RFC 8555: Automatic Certificate Management Environment (ACME): https://datatracker.ietf.org/doc/html/rfc8555WikipediaTransport Layer Securityhttps://en.wikipedia.org/wiki/Transport_Layer_Security 覺得有用就點(diǎn)個(gè)贊 收藏方便回頭查閱有疑問直接在評(píng)論區(qū)留言我看到都會(huì)回。 本文屬于《網(wǎng)絡(luò)協(xié)議實(shí)戰(zhàn)》系列持續(xù)更新關(guān)注不迷路。 文章里的代碼都能直接跑。想要可直接 clone 的完整工程 配套部署腳本 / 踩坑清單評(píng)論一聲或發(fā)郵件到cj2664qq.com我免費(fèi)發(fā)你。如果你正好在做類似系統(tǒng)、或有工程化難題想找人做也歡迎郵件聊一句——我按實(shí)際情況評(píng)估能落地的就接單或出方案。評(píng)論和郵件都能直接找到我不用跳別的平臺(tái)。