| Web 端 | HPKP 因自锁风险被浏览器移除，不建议在网站使用 |
|---|---|
| 移动 App | 常用 SPKI 或证书固定，需内置至少一个备用指纹 |
| 风险 | 固定失效等于应用无法连接后台，且无法靠服务端即时修复 |
| 替代 | CT 监控、短有效期、私有 CA 加网络策略 |
计算 SPKI 固定值（供 App 内置）
计算 SPKI 固定值（供 App 内置）
openssl x509 -in cert.pem -noout -pubkey | openssl pkey -pubin -outform DER | openssl dgst -sha256 -binary | openssl base64做固定前先设计轮换流程：备用指纹、灰度下线旧指纹、应急版本通道缺一不可。