大话HTTPS

这门课解决什么问题

现在所有对外网站都跑 HTTPS，但很多开发者和运维知其然而不知其所以然。证书怎么签发、握手为什么既用对称又用非对称、浏览器为什么有时仍报「不安全」、HSTS 配置写错会怎样——这些在一线排查里反复出现的问题，课程逐一拆清楚。你读完不会再对着抓包工具里的 Client Hello 发懵，也不会把 TLS 当成只能照文档配的黑盒。

课程从最基础的对称与非对称加密讲起，说明两者在 HTTPS 里各干什么是谁，再推进到 X.509 证书链和 CA 信任体系，解释根证书、中间证书、OCSP Stapling 各自的职责。第四节落到 HSTS 头部的三个字段：max-age、includeSubDomains、preload，以及浏览器预加载列表的工作原理。最后留一节给实战排错，对应生产环境最常见的几种故障现象。

适合什么基础、建议先看哪几块

门槛很低。只要你见过 DevTools 的 Network 面板、能在终端里跑 curl，就能跟上。课程不要求密码学前置知识，遇到 RSA 或 ECDHE 这类术语会用类比先讲清概念，数学证明一笔带过。如果你已经配过 Nginx 的 ssl_certificate 指令、或者在 CI 里处理过自签名证书验证失败，这部分内容会直接对应到你的报错日志，理解会更快。

学习顺序建议这样走：第一节 TLS 演进打底，了解 SSL 3.0 到 TLS 1.3 的关键改动；第二节对称/非对称加密分工，搞清楚为什么 HTTPS 要混用两者，这一节是后面所有内容的基础；第三节证书链最关键，CA 信任体系、证书吊销、OCSP 和 CRL 的区别都在这，配证书时出事故八成是这里的问题；第四节 HSTS 收尾，三个字段怎么组合才安全；第五节实战排错，对照典型报错反查前面三节的知识点。前三节必须线性看完，后两节可以当字典查，按问题找章节就够了。

学完能独立做什么、资料怎么配合

学完后你能独立完成三件事。第一，配置 Let's Encrypt 或商业 CA 证书，处理证书链不完整导致的浏览器报「不安全」，写出正确的 Nginx ssl_stAp 和 certbot 自动化续期脚本。第二，用抓包工具读 TLS 握手过程，定位 Client Hello 里 cipher suite 被服务端拒绝的原因，分清是协议版本不兼容还是密码套件列表太老。第三，写出符合生产要求的 HSTS 策略，知道什么时候加 includeSubDomains、什么时候提交 preload 列表、提交失败常见原因是什么。

资料包用来配合练习。遇到证书问题先抓包看 Server Hello，对照第二节理解 negotiated cipher suite；HSTS 配置拿不准参数，参考第四节示例在本地起一个测试站点实测；实战排错那节可以直接拿课程给的典型案例练手，按步骤复现再对照答案。别只看不动手，配一次真实站点比看十遍讲解有用。遇到报错先把错误信息贴出来，对照课程里对应的章节找根因，这样形成闭环比从头到尾线性看完收获大得多。