HTTPS 客户端校验证书，是为了确认对端持有与目标域名相符的身份凭证，降低中间人冒充风险。常见检查包括：证书是否在有效期内；证书中的 DNS 名称是否匹配访问主机名；证书链能否逐级验证到客户端信任的根 CA；用途、签名算法和约束是否符合客户端策略。具体策略随操作系统、浏览器和应用运行时而异。

服务端通常发送叶子证书和必要的中间证书。客户端本地预置或由企业策略提供信任根，验证链上签名和约束。证书文件里包含公钥、主体名称、颁发者、有效期等信息；证书本身不加密 HTTP 内容，也不保证网站业务可信。TLS 握手还会验证服务端确实掌握对应私钥。

常见失败包括域名不匹配、过期、系统时间错误、缺少中间证书、根 CA 不受信任或证书被策略拒绝。生产环境不应为了“修复”问题而关闭校验；应修正证书部署和客户端信任配置。证书吊销状态的检查方式与覆盖程度也因客户端生态而异，不能假设所有客户端都实时采用同一种检查。

部署时要确保访问域名包含在证书的 Subject Alternative Name（SAN）中，并正确发送中间证书。通配符证书的匹配范围有规则限制，不应假定一个证书可以覆盖任意多级子域名。自动续期应监控剩余有效期并验证线上实际加载的证书，避免磁盘证书已更新但服务仍使用旧证书。