2、HTTPS与TLS：HTTPS工作原理、TLS握手过程、证书管理与双向认证

2.1 HTTPS工作原理

HTTPS并非全新的协议，而是HTTP协议运行在TLS之上。其核心工作流程如下：

HTTPS通信的核心步骤：

1. 客户端发起请求：浏览器或API客户端向服务器发起HTTPS连接请求（默认端口443）。
2. TLS握手：客户端与服务器进行TLS握手，协商加密算法、交换密钥、验证服务器身份。
3. 证书验证：服务器发送数字证书，客户端验证证书的合法性（CA签名、有效期、域名匹配）。
4. 加密通信：握手成功后，双方使用对称密钥对HTTP数据进行加密传输，确保机密性和完整性。

2.2 TLS握手过程

TLS握手是建立安全连接的关键步骤，涉及密码套件协商、身份验证和密钥交换。以最常用的TLS 1.3为例，握手过程如下：

TLS 1.3握手关键步骤说明：

步骤	方向	内容	说明
① ClientHello	客户端 → 服务器	TLS版本、密码套件、随机数	客户端发起握手，告知支持的加密选项
② ServerHello	服务器 → 客户端	选定密码套件、证书、密钥分享	服务器响应，提供身份证明和密钥材料
③ 验证与密钥计算	客户端内部	证书验证、密钥派生	客户端验证证书链，计算共享密钥
④ Finished	双向	握手完成确认	双方确认握手成功，开始加密通信

2.3 证书管理

数字证书是TLS信任体系的基石，由证书颁发机构（CA）签发，用于验证服务器身份。证书管理涉及证书的生命周期管理：

证书管理最佳实践：

• 使用受信任的CA：选择主流CA机构（如Let's Encrypt、DigiCert、GlobalSign）签发的证书。
• 证书链完整性：部署时需包含中间证书，确保客户端能验证完整的证书链。
• 自动续期：使用ACME协议（如Certbot）实现证书自动续期，避免过期导致服务中断。
• 私钥安全：私钥文件设置严格权限（600），定期轮换，避免泄露。
• 吊销检查：配置OCSP Stapling或CRL，及时响应证书吊销状态。

2.4 双向认证（mTLS）

双向认证（Mutual TLS）要求客户端和服务器双方都出示证书进行身份验证，适用于高安全场景（如微服务间通信、金融API）。

双向认证（mTLS）配置要点：

组件	配置项	说明
服务器端	ssl_client_certificate	配置受信任的客户端CA证书，用于验证客户端证书
服务器端	ssl_verify_client	设置为 on 或 optional，要求客户端提供证书
客户端	客户端证书+私钥	每个客户端需持有由受信任CA签发的证书和私钥
证书链	完整链验证	双方均需验证对方证书链的完整性和有效性

Nginx配置mTLS示例：

server {
    listen 443 ssl;
    server_name api.example.com;

    # 服务器证书配置
    ssl_certificate     /etc/ssl/certs/server.crt;
    ssl_certificate_key /etc/ssl/private/server.key;

    # 客户端证书验证
    ssl_client_certificate /etc/ssl/certs/ca.crt;
    ssl_verify_client on;
    ssl_verify_depth 2;

    location /api/ {
        # 客户端证书信息可传递给后端
        proxy_set_header X-SSL-Client-Cert $ssl_client_cert;
        proxy_set_header X-SSL-Client-Verify $ssl_client_verify;
        proxy_pass http://backend;
    }
}

mTLS适用于以下场景：

• 微服务间通信：服务网格（如Istio）中服务间调用使用mTLS加密和认证。
• 金融级API：银行、支付等场景要求客户端身份强验证。
• IoT设备管理：设备与云端通信时，双向证书认证防止伪造设备接入。
• 内部管理接口：运维管理API使用mTLS限制仅授权客户端访问。