证书吊销机制总览（CRL/OCSP）

吊销用于让证书在到期前失效：CRL 是 CA 定期发布的吊销列表，OCSP 提供单证书状态查询；现代实践配合短有效期、OCSP Stapling 与浏览器自有名单降低吊销检查的可用性风险。

CRL	定期发布全量列表，体积随时间增长；分片 CRL 缓解
OCSP	按证书查询状态：good/revoked/unknown；实时但引入可用性与隐私问题
Stapling	服务端缓存 OCSP 响应随握手下发，缓解客户端直连压力
趋势	部分 CA 已停用 OCSP 转向 CRL 与短有效期（以官方公告为准）

手工查询吊销状态

openssl ocsp -issuer ca.pem -cert cert.pem -url http://ocsp.example.com -resp_text | head -20

客户端侧的吊销检查可能被软失败跳过（超时即放行），因此不能把它当作唯一防线，短有效期与密钥保护同样重要。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌