| 固定对象 | 叶证书指纹、公钥指纹或 SPKI 哈希 |
|---|---|
| 失效触发点 | 证书提前轮换、CA 变更、链上材料变化 |
| 缓解策略 | 固定公钥或中间证书、配置多组固定值、支持配置下发更新 |
计算各类指纹
计算各类指纹
openssl s_client -connect api.example.com:443 -servername api.example.com </dev/null 2>/dev/null | openssl x509 -noout -fingerprint -sha256
openssl s_client -connect api.example.com:443 -servername api.example.com </dev/null 2>/dev/null | openssl x509 -noout -pubkey | openssl pkey -pubin -outform DER | openssl dgst -sha256当更新固定值需要发版时，证书轮换应提前规划时间窗，避免服务端切换与客户端更新脱节。