01
PKI基础概念
公钥基础设施的定义、核心组件（CA、RA、证书库）、信任模型（层次模型、网状模型、混合模型）。
信任模型CA/RA
02
X.509证书标准
证书版本、序列号、签名算法、颁发者、有效期、主体、公钥信息、扩展项（密钥用法、基本约束、SAN）。
ASN.1扩展项
03
证书链结构
终端实体证书、中间CA证书、根CA证书的层级关系，证书链的构建与验证路径。
层级路径构建
04
根证书管理
根证书的生成、自签名、安全存储（HSM）、生命周期管理（颁发、轮换、撤销）。
HSM自签名
05
证书链校验原理
从叶子证书到根证书的逐级验证过程，签名验证、有效期检查、撤销状态检查。
逐级验证撤销检查
06
证书撤销机制
CRL（证书撤销列表）的结构与分发、OCSP（在线证书状态协议）的工作原理、OCSP Stapling。
CRLOCSP
07
OpenSSL实战（一）
OpenSSL安装、配置文件解析、生成CA根证书与私钥。
根CAopenssl
08
OpenSSL实战（二）
使用OpenSSL生成中间CA证书、签发终端实体证书。
中间CA签发
09
OpenSSL实战（三）
构建完整证书链、验证证书链（openssl verify命令详解）。
verify链构建
10
OpenSSL实战（四）
管理CRL（生成CRL、查看CRL、配置CRL分发点）、配置OCSP Responder。
CRLOCSP Responder
11
Java证书链校验
KeyStore加载、TrustManagerFactory初始化、CertPathValidator验证、PKIXParameters配置。
CertPathPKIX
12
Java SSL/TLS上下文
SSLContext初始化、自定义TrustManager实现、HostnameVerifier、双向认证配置。
SSLContext双向认证
13
Python证书链校验
cryptography库加载证书链、验证证书链、检查证书撤销状态。
cryptography撤销
14
Python SSL上下文
ssl.create_default_context、load_verify_locations、自定义验证回调、证书固定（Certificate Pinning）。
Pinning回调
15
Go语言证书链校验
crypto/x509包解析证书、VerifyOptions配置、构建自定义验证器。
x509VerifyOptions
16
Go语言TLS配置
tls.Config设置、ClientAuth类型、GetClientCertificate回调、证书热加载。
热加载ClientAuth
17
Nginx证书链配置
ssl_certificate与ssl_certificate_key指令、证书链文件拼接顺序、OCSP Stapling配置。
NginxOCSP Stapling
18
Apache证书链配置
SSLCertificateFile与SSLCertificateChainFile指令、SSLCACertificatePath配置。
ApacheSSLCACertificatePath
19
Windows证书管理
证书管理控制台（certlm.msc/certmgr.msc）、证书导入导出、证书链构建与验证（CertPathValidator）。
certlmCertPathValidator
20
macOS/iOS证书管理
钥匙串访问（Keychain Access）、安全框架（Security Framework）、证书信任设置。
KeychainSecurity
21
证书链性能优化
证书链长度控制、OCSP响应缓存、会话复用（Session Resumption）、TLS False Start。
性能会话复用
22
证书链安全加固
密钥长度选择（RSA 2048/4096、ECC P-256/P-384）、签名算法（SHA256withRSA、ECDSA）、证书透明度（CT）。
加固CT
23
私有CA搭建
使用OpenSSL搭建企业内部CA、配置证书策略、自动化证书签发（脚本化）。
私有CA自动化
24
Let's Encrypt与ACME协议
ACME协议工作流程、Certbot客户端使用、自动续期、通配符证书。
ACMECertbot
25
证书链调试工具
openssl s_client、openssl s_server、curl --cacert、浏览器开发者工具（Security Tab）。
调试s_client
26
常见证书错误与排查
证书过期、主机名不匹配、自签名证书不受信任、证书链不完整、撤销状态未知。
排错主机名
27
证书链与代码签名
代码签名证书类型（OV/EV）、Authenticode签名、macOS Gatekeeper、Android APK签名。
代码签名Gatekeeper
28
证书链与邮件安全
S/MIME证书、数字签名与加密、邮件客户端配置（Outlook/Thunderbird）。
S/MIME邮件
29
证书链与容器安全
Docker内容信任（Docker Content Trust）、Notary项目、Kubernetes证书管理（cert-manager）。
DCTcert-manager
30
证书链未来趋势
量子计算对PKI的威胁、后量子密码算法（CRYSTALS-Kyber/Dilithium）、证书自动化与DevSecOps集成。
后量子DevSecOps