4. 证书生命周期管理：证书申请、颁发、续期、吊销、过期处理的全流程

企业级追溯平台与第三方认证系统集成时，数字证书并非静态文件，而是经历从申请到销毁的完整生命周期。本章聚焦证书管理接口开发的核心流程，涵盖证书申请、颁发、续期、吊销及过期处理五个关键阶段，并给出各阶段的接口设计要点与状态机转换规则。

4.1 证书生命周期状态机

证书从创建到废弃共经历 6 种状态，状态转换由接口事件驱动。下表列出各状态的定义与触发条件：

4.2 证书申请与颁发接口

证书申请是生命周期的起点。追溯平台向第三方认证系统提交 PKCS#10 CSR（证书签名请求），认证系统验证身份后返回证书链。接口设计如下：

4.2.1 申请接口（POST /api/v1/certificates/apply）

4.2.2 颁发响应示例

{
  "cert_id": "cert_20250321_001",
  "certificate": "-----BEGIN CERTIFICATE-----\nMIIE...\n-----END CERTIFICATE-----",
  "issuer_cert": "-----BEGIN CERTIFICATE-----\nMIIF...\n-----END CERTIFICATE-----",
  "serial_number": "0A1B2C3D4E5F",
  "not_before": "2025-03-21T00:00:00Z",
  "not_after": "2026-03-21T00:00:00Z",
  "status": "ISSUED"
}

4.3 证书续期接口

证书到期前 30 天触发续期流程。续期接口复用申请逻辑，但需携带原证书 ID 以建立关联。

4.3.1 续期接口（POST /api/v1/certificates/{cert_id}/renew）

• 请求参数：新 CSR、续期原因（可选）
• 处理逻辑：
  1. 验证原证书状态为 ACTIVE 且未过期
  2. 将原证书标记为 RENEWED
  3. 签发新证书，新证书有效期从当前时间开始计算
  4. 返回新证书信息，同时返回原证书的吊销链接（可选）
• 幂等性：同一 cert_id 在 5 分钟内重复请求返回相同新证书

4.4 证书吊销接口

当追溯平台节点下线、私钥泄露或合规要求变更时，需立即吊销证书。吊销信息需同步至 CRL（证书吊销列表）或 OCSP（在线证书状态协议）响应器。

4.4.1 吊销接口（POST /api/v1/certificates/{cert_id}/revoke）

4.4.2 吊销响应

{
  "cert_id": "cert_20250321_001",
  "status": "REVOKED",
  "revocation_reason": "keyCompromise",
  "revocation_date": "2025-04-01T10:30:00Z",
  "crl_entry": "https://ca.example.com/crl/0A1B2C3D4E5F"
}

4.5 过期处理与定时任务

证书过期是自然终态，无需人工干预。但系统需具备自动检测与通知机制，避免因证书过期导致业务中断。

4.5.1 过期检测策略

• 定时任务：每日凌晨 2:00 扫描证书表，将 not_after < NOW() 且状态为 ACTIVE 的证书更新为 EXPIRED
• 提前预警：在证书到期前 30 天、7 天、1 天分别发送通知到管理员邮箱或 Webhook
• 自动续期：对于系统证书（如 TLS 证书），可配置自动续期策略，在到期前 7 天自动调用续期接口

4.5.2 过期后处理流程

1. 证书状态变更为 EXPIRED
2. 从活跃证书缓存中移除
3. 触发关联服务的证书更新回调（如 Nginx 热加载）
4. 保留过期证书记录至少 180 天用于审计

4.6 接口开发注意事项

• 事务一致性：证书状态变更必须与 CRL/OCSP 更新在同一事务中，避免出现已吊销但 CRL 未更新的情况
• 审计日志：每次状态变更记录操作人、时间、旧状态、新状态、变更原因
• 并发控制：使用乐观锁（version 字段）防止同一证书被多次吊销或续期
• 异常处理：CA 服务不可用时，申请/续期接口应返回 503 并进入重试队列，而非直接失败