TLS 连接

是什么，为什么存在

传输层安全（Transport Layer Security，TLS）运行在可靠传输协议之上、HTTP 等应用协议之下，通常使用 TCP。它把字节流变成经过认证、具备机密性和完整性保护的通道。请求、权限、事务和消息上限仍由应用定义。

没有 TLS 时，路径上的观察者可以读取流量，主动攻击者则能修改字节或冒充目标。TLS 通过认证握手数据、协商新的流量密钥，再用认证加密保护后续记录来抵御这些威胁。它不会隐藏所有可观察信息；地址、时序、大小以及服务器名称通常仍会暴露。

服务器通常用 X.509 证书证明身份。证书包含公钥和获准提供服务的名称；证书本身公开，对应私钥才是秘密。签发者的签名把这张证书连接到客户端配置的信任决策。

两种校验回答不同问题。 证书链（certificate chain） 校验判断所提供身份能否经过可接受的签发者到达信任锚。 主机名校验（hostname verification） 则判断证书是否覆盖客户端原本要访问的服务名称。

一条证书链可以对 payments.example 有效，却不适用于 login.example。反过来，证书可能包含请求主机，但只能连接到一个未知的私有根。安全客户端需要两项校验同时成功，还要检查有效期、签名、密钥用途和证书约束。

TLS 通常只认证服务器。通道就绪后，应用再通过会话、令牌或其他凭据认证用户。双向 TLS 还可以请求客户端证书，但证书身份仍需明确映射到应用授权。

HTTPS、数据库连接、邮件提交、服务网格、消息代理、VPN 控制通道和自定义协议都会用到 TLS。成熟库一般提供安全的默认校验配置。真正危险的时刻是连接失败后，有人把 rejectUnauthorized: false 当成修复，而不是信任或身份配置错误的证据。

工作原理

TLS 1.3 从 TLS 握手（TLS handshake） 开始。双方协商协议参数，服务器证明自己持有私钥，再从同一份经过认证的握手记录中派生流量秘密。只有客户端接受服务器身份并验证握手后，应用字节才开始传输。

主要握手路径可以按以下顺序理解：

1. 客户端与一个已选地址建立传输连接。
2. ClientHello 提供 TLS 版本、密码套件、密钥份额，以及 SNI 和 ALPN 等扩展。
3. ServerHello 选择参数，并给出服务器的密钥份额。
4. 服务器发送证书链，以及覆盖握手记录的签名。
5. 客户端校验证书链、服务名称、证书用途和有效时间窗口。
6. 双方各自验证 Finished 值，然后切换到受保护的应用记录。

服务器名称指示（Server Name Indication，SNI）告诉多租户端点客户端期望哪张证书和哪套配置。应用层协议协商（Application-Layer Protocol Negotiation，ALPN）会选择 h2 或 http/1.1 等协议。两个扩展本身都不认证对端，真正完成认证的是证书和握手记录检查。

普通 TLS 1.3 握手中的 密钥协商（key agreement） 使用临时 Diffie-Hellman 密钥。每个端点把自己的临时私钥与对端的公开份额组合，在不发送共同秘密的情况下得到相同结果。TLS 密钥计划再分别派生握手流量、客户端应用流量和服务器应用流量所需的密钥。

证书签名不会加密应用数据，也不是批量流量使用的密钥。它认证服务器的握手贡献，并把协商参数绑定到经过认证的密钥。完成密钥派生后，高效的对称认证加密负责保护记录。

TLS 记录携带内容类型和受保护负载。认证加密既隐藏明文，也能检测修改；认证标签无效的记录会被拒绝。协议实现负责管理与序列有关的 nonce 和密钥，这正是应用代码不应自制加密字节流的原因之一。

会话恢复让客户端和服务器使用之前签发的票据或预共享密钥，以减少重复握手工作。恢复仍有策略、生命周期和密钥轮换边界。启用 TLS 1.3 早期数据后，数据可能被重放，因此必须只用于能承担这种风险的操作。

示例

以下示例使用 Node 24，并调用本地 OpenSSL 命令创建短期测试证书。它们只绑定回环地址，隐藏 OpenSSL 生成随机密钥时的进度，并输出确定的观察结果，不输出证书序列号或生成的秘密。

检查证书名称

第一个程序创建一张证书，其中包含旧式通用名称和两个主题备用名称。X509Certificate.checkHost() 只检查证书名称匹配；它不会构建信任链，也不检查证书当前是否有效。

完整的 api.internal 名称能够匹配，单标签通配符也能匹配 orders.svc.internal。因为这里由 SAN 扩展定义服务身份，所以通用名称无法让 legacy.internal 通过。生产客户端应由 TLS 库应用当前服务身份规则，不要自行编写后缀测试。

分开检查信任与主机名

这个回环服务器提供一张由临时私有根签发的叶证书。三个客户端每次只改变一个条件：根和名称都正确、根不受信任，或者根受信任但服务名称错误。

import { execFileSync } from "node:child_process";
import { mkdtempSync, readFileSync, rmSync } from "node:fs";
import { tmpdir } from "node:os";
import { join } from "node:path";
import { connect, createServer } from "node:tls";
const work = mkdtempSync(join(tmpdir(), "codewiki-tls-"));
const file = (name) => join(work, name);
const quiet = { stdio: "ignore" };
execFileSync("openssl", ["req", "-x509", "-newkey", "rsa:2048", "-nodes", "-days", "1", "-subj", "/CN=Demo Root CA", "-addext", "basicConstraints=critical,CA:TRUE", "-addext", "keyUsage=critical,keyCertSign,cRLSign", "-keyout", file("root.key"), "-out", file("root.crt")], quiet);
execFileSync("openssl", ["req", "-newkey", "rsa:2048", "-nodes", "-subj", "/CN=unused.internal", "-addext", "subjectAltName=DNS:api.internal", "-keyout", file("server.key"), "-out", file("server.csr")], quiet);
execFileSync("openssl", ["x509", "-req", "-in", file("server.csr"), "-CA", file("root.crt"), "-CAkey", file("root.key"), "-CAcreateserial", "-days", "1", "-copy_extensions", "copy", "-out", file("server.crt")], quiet);
const server = createServer({
  key: readFileSync(file("server.key")),
  cert: readFileSync(file("server.crt")),
}, (socket) => socket.end("ready\n"));
server.on("tlsClientError", () => {});
await new Promise((resolve) => server.listen(0, "127.0.0.1", resolve));
const port = server.address().port;
function attempt(label, options) {
  return new Promise((resolve) => {
    const client = connect({ host: "127.0.0.1", port, ...options }, () => {
      console.log(`${label}: authorized=${client.authorized}`);
      client.end();
      resolve();
    });
    client.once("error", (error) => {
      console.log(`${label}: ${error.code}`);
      resolve();
    });
  });
}
const ca = readFileSync(file("root.crt"));
await attempt("trusted", { ca, servername: "api.internal" });
await attempt("untrusted", { servername: "api.internal" });
await attempt("wrong-host", { ca, servername: "billing.internal" });
await new Promise((resolve) => server.close(resolve));
rmSync(work, { recursive: true });

trusted: authorized=true
untrusted: UNABLE_TO_VERIFY_LEAF_SIGNATURE
wrong-host: ERR_TLS_CERT_ALTNAME_INVALID

成功的客户端连接到 127.0.0.1，但通过显式的 servername 校验 api.internal。这保留了路由与身份的区别。其余两个错误需要不同的修复：前者应分发预期根，后者则要使用覆盖预期服务名称的证书。

私有根只传给这个客户端。用一次性叶证书替换进程信任库会使轮换变得脆弱，而把开发根加入整台机器的信任库，则会扩大所有受影响应用的信任范围。

演示临时密钥协商

这个程序使用 Node 的 X25519 原语，单独展示 TLS 1.3 密钥份额背后的数学协商。它不是 TLS 实现，其中没有证书、握手记录签名、密钥计划、记录 nonce 或认证加密。

import { diffieHellman, generateKeyPairSync } from "node:crypto";

function ephemeralPair() {
  return generateKeyPairSync("x25519");
}

const alice = ephemeralPair();
const bob = ephemeralPair();
const aliceSecret = diffieHellman({
  privateKey: alice.privateKey,
  publicKey: bob.publicKey,
});
const bobSecret = diffieHellman({
  privateKey: bob.privateKey,
  publicKey: alice.publicKey,
});

const nextBob = ephemeralPair();
const nextSecret = diffieHellman({
  privateKey: alice.privateKey,
  publicKey: nextBob.publicKey,
});

console.log(`same shared secret: ${aliceSecret.equals(bobSecret)}`);
console.log(`rotating one key changes it: ${!aliceSecret.equals(nextSecret)}`);

same shared secret: true
rotating one key changes it: true

双方使用不同的私有输入和交换的公钥，派生出相同字节。替换一组临时密钥后，结果也随之改变。TLS 会把这类输入送入绑定握手记录的派生计划，而不是直接使用原始共同秘密。

新的临时密钥支持 前向保密（forward secrecy） ：以后只有证书私钥泄露时，无法还原过去的会话密钥。该属性还取决于临时秘密是否删除，以及实际协商的握手模式；这个小例子并未证明这两个运行条件。

陷阱

关闭证书校验

修复方法： 保留失败错误码，并修复信任根、证书链、时钟或请求主机名。如果隔离诊断必须绕过校验，应把它留在生产配置之外，也绝不能让对应客户端对象处理真实凭据。

混淆连接地址与服务名称

修复方法： 用获准地址进行路由，同时保留原始服务名称，用于 SNI、证书校验和应用 authority。经过代理和自定义 DNS 钩子时，要分别测试这些值。

把任意签名链当作受信任链

修复方法： 通过平台信任库或范围严格的私有 CA 包，在连接之外配置信任锚。服务器应发送叶证书和中间证书，不要依靠对端来提供客户端自己的信任决策。

固定会被替换的叶证书

修复方法： 除非威胁模型确实要求固定，否则优先使用常规 PKI 校验。必须固定时，要定义被固定的稳定对象，让旧材料与新材料重叠，测试恢复流程，并在强制执行前交付到期方案。

发送不完整的证书链

修复方法： 服务器配置应先放叶证书，再放必要的中间证书，并使用最小信任库测试。监控整条部署链的到期时间，在当前证书进入最后有效窗口前演练续期。

把 TLS 当作应用授权

修复方法： 使用应用身份和策略为每项操作授权。记录每个 TLS 终止边界，必要时认证下一跳，并在每个能看到明文的端点移除敏感数据。

延伸阅读

• RFC 8446：传输层安全协议 1.3
• RFC 5280：互联网 X.509 PKI 证书与 CRL 配置文件
• RFC 9525：TLS 中的服务身份
• Node.js v24 TLS 文档
• Node.js v24 X509Certificate 文档
• OpenSSL 3.0 证书校验选项