「域名不符」是指什么
浏览器报「域名不匹配」，指的是【0】。 贯穿本节的证书模型：一张证书是 dict(cn, issuer, nb, na)——发给谁(cn)、谁签的(issuer)、有效期 [nb, na)。is_self_signed=主体与签发者同名，e
过期证书验成什么
按证书模型，过期证书（nb=100、na=200）在 now=500 访问，verify 交回什么？ 贯穿本节的证书模型：一张证书是 dict(cn, issuer, nb, na)——发给谁(cn)、谁签的(issuer)、有效期 [nb
名字对不上验成什么
按证书模型，证书 cn=a.local、期内受信，却拿去访问 b.local，verify 交回什么？ 贯穿本节的证书模型：一张证书是 dict(cn, issuer, nb, na)——发给谁(cn)、谁签的(issuer)、有效期 [n
补全:判断过期
补全 expired：now 不在 [nb, na) 就过期。 贯穿本节的证书模型：一张证书是 dict(cn, issuer, nb, na)——发给谁(cn)、谁签的(issuer)、有效期 [nb, na)。is_self_signe
补全:域名核对
补全 host_ok：证书 cn 与访问域名一致。 贯穿本节的证书模型：一张证书是 dict(cn, issuer, nb, na)——发给谁(cn)、谁签的(issuer)、有效期 [nb, na)。is_self_signed=主体与签
补全:整套校验诊断
补全 verify：按有效期→域名→受信顺序，交回第一个不过的原因。 贯穿本节的证书模型：一张证书是 dict(cn, issuer, nb, na)——发给谁(cn)、谁签的(issuer)、有效期 [nb, na)。is_self_si
补全:CA 是否受信
补全 trusted：签发 CA 在受信列表才受信。 贯穿本节的证书模型：一张证书是 dict(cn, issuer, nb, na)——发给谁(cn)、谁签的(issuer)、有效期 [nb, na)。is_self_signed=主体与
真机上怎么算 HTTPS 通了
在受控容器里访问本机 HTTPS 服务，算通了的标准是【0】。 （本机受控：openssl 自签 + 本机 HTTPS 服务 + curl，全在 127.0.0.1。）
从现象认 HTTPS 的毛病
本机 HTTPS 访问出问题，下面哪些和「TLS/证书层面」直接相关？ A. curl 报证书过期 B. curl 报域名不匹配 C. curl 报自签不受信（要 -k） D. 服务没起、端口连不上
把本机 HTTPS 服务跑起来
场景：~/tls/ 下有自签证书 server.crt/server.key 和一个 HTTPS 服务脚本 ~/tls/serve.sh（监听 127.0.0.1，本机受控）。 任务：把服务起起来，用 curl -k 访问它、拿到正确响应。