OCSP（在线证书状态协议）

OCSP（在线证书状态协议 Online Certificate Status Protocol，RFC 6960）是一个实时验证电子证书撤销状态的协议，通过查询由证书颁发机构运营的 OCSP 响应者。为什么撤销很重要：证书可能在日期上有效但被提前撤销（密钥泄露、员工离职）；因此签名或 TLS 连接必须检查状态，而不仅仅是过期时间。OCSP 与 CRL 对比：OCSP 是CRL 的更轻量级和响应更快的替代方案 — 与其下载整个撤销列表，客户端查询单个证书并接收简洁的签名响应（有效 / 已撤销 / 未知）。OCSP 装订：为避免隐私泄露和额外的往返，服务器检索自己的 OCSP 响应并在TLS 握手中「装订」它，使得浏览器永远不会直接联系 CA。在签署文件中：OCSP 响应在签名时整合到 PDF 中以用于长期验证 (LTV)，使得签名在多年后仍然可以验证，即使响应者离线。