三件事：证书里装了什么；根 → 中间 → 叶子怎么签出来；客户端怎么验证。本文只讨论公开信任的 TLS 服务器证书。验证服务端证书，—— 确认你正在通信的对象，就是你以为的那个对象。