证书吊销检查：CRL 与 OCSP

证书在有效期内也可能被吊销：应通过 CRL 或 OCSP 检查吊销状态，使用 OCSP Stapling 降低延迟与隐私暴露，并监控证书到期与吊销事件。

OCSP 查询示例

openssl ocsp -issuer ca.crt -cert server.crt \
  -url http://ocsp.example.com -resp_text -noverify

自建 CA 或私有 PKI 场景：应保证 CRL 发布周期与留存，客户端吊销检查失败时的策略（放行或拒绝）要明确写入规范。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌