一文看懂 HTTPS 单向认证与双向认证：原理、时序图与应用实践

原创于 2025-08-18 16:14:02 发布 · 1.6k 阅读

16 ·

CC 4.0 BY-SA版权

文章标签：

#https #网络协议 #http

架构设计专栏收录该内容

6 篇文章

订阅专栏

一文看懂 HTTPS 单向认证与双向认证：原理、时序图与应用实践

在如今这个数字化通信的世界里，HTTPS 是保障安全访问的基石。很多人以为 HTTPS 只是“加密”，其实加密只是第一步，身份认证机制才是其真正的核心。
本文将带你深入理解 HTTPS 中的两种身份认证方式：单向认证与双向认证。我不仅会通过详尽的流程图拆解其原理，还会结合实际场景如 Kubernetes 与微服务通信，帮助你学以致用。

一、什么是对称加密与不对称加密？

在深入认证流程之前，先了解两个基本加密概念：

1.1 对称加密（Symmetric Encryption）

加密和解密使用同一个密钥
速度快，适合大量数据传输
常见算法：AES，SM4(国密算法体系)
🧠 类比： 像你和朋友共用一把锁的钥匙，传输这把钥匙的过程要足够安全。

1.2 不对称加密（Asymmetric Encryption）

使用一对密钥：公钥（公开）和私钥（保密）
公钥加密 → 私钥解密
私钥签名 → 公钥验证
常见算法：RSA，SM2(国密算法体系)
🧠 类比： 像一个锁着的信箱，所有人用公钥（邮箱）投信，但只有你用私钥才能取出。
📌 在 HTTPS 中的实际用法：
用不对称加密交换密钥；
用对称加密传输数据（提高效率）。

二、HTTPS 单向认证：客户端验证服务器身份

在单向认证中，只有客户端验证服务器的身份，服务器不验证客户端。

2.1 认证流程

1、客户端发起连接请求；
2、服务器返回其数字证书（含域名、颁发机构、公钥、有效期、CA 签名）；
3、客户端使用系统内置或指定的 CA 根证书验证该证书的合法性，包括：
4、若验证通过，客户端生成一个对称加密的会话密钥,使用服务器的公钥加密该密钥并发送给服务器；
5、服务器使用私钥解密，获得会话密钥；
6、此后双方使用该密钥进行对称加密通信。

🔸 若服务器使用自签名证书，客户端需要通过 --cacert 显式指定可信的 CA，否则验证失败。

2.2 单向认证时序图

在这里插入图片描述

2.3 应用场景（单向认证）

🌐 浏览器访问 HTTPS 网站
📱 移动 APP 请求后端 API
☁️ 外部访问 Kubernetes Ingress 网关
🔁 自动化脚本调用开放 API
🚪 适用于服务端需要验证身份而客户端无需出示身份的通信场景

三、HTTPS 双向认证：客户端与服务器互相验证身份

双向认证中，客户端与服务器都会出示各自的证书，并进行相互验证，常用于高安全级别的通信。

3.1 认证流程

1、客户端发起连接请求；
2、服务器返回其 CA 签名的证书；
3、客户端验证服务器证书合法性，获得其公钥；
4、客户端向服务器发送自己的客户端证书（包含客户端公钥）；
5、服务器验证客户端证书合法性，获取其公钥；
6、客户端发送自己支持的加密算法列表；
7、服务器选择加密算法，并用客户端公钥加密返回；
8、客户端用自己的私钥解密，确认加密方式；
9、客户端生成对称会话密钥，并用服务器公钥加密发送；
10、服务器用私钥解密，获得会话密钥；
11、双方基于该密钥进行对称加密通信。