证书停止线
证书名称不匹配时为什么必须停止
不匹配不进入任何缓存或网络恢复操作。 本文给出可复核步骤、状态边界、脱敏记录方法与复核路径。
证书名称不匹配表示地址栏中的主机没有被当前证书所列名称覆盖，排障路径必须在握手层停止。记录只需输入主机的规范化与脱敏形式、SAN覆盖判断、浏览器告警原文、观察时间和截图引用；不要点击高级继续，也不要输入账号、验证码或任何个人资料。通配符是否覆盖必须按标签层级判断，不能凭文字相似或品牌外观认定。国际化主机还要比较一致的规范形式。
名称告警不能通过清缓存、换网络、改系统时间或寻找相似地址来解决。若SAN无法读取、地址栏被截断或主机来源不明，coverage写UNKNOWN并保持停止。下一步是安全退出，由有权限的证书或系统管理角色核对配置。本文只定义停止与留证边界，不判断证书所有权、页面身份或现实服务状态。匹配实现应对主机做统一大小写、末尾点和国际化编码处理，再逐标签比较，但保留浏览器原显示以供审计。通配符规则、公共后缀处理和空标签都进入版本化测试。任何解析器异常都返回UNKNOWN，不使用字符串包含来放行。停止状态要传播到任务队列、缓存恢复、网络对照、截图教程和导出，避免某个子页面仍显示继续按钮。授权人员返回处理结果后，新建证书观察重新跑所有安全项，不能只接受一句已经处理。
从地址栏提取最小主机证据
核对时只读取地址栏主机，不展开查询参数、账户路径或页面内容。保存规范化host_label、输入来源类别和observed_at。若来自书签，可比较书签主机与地址栏是否一致；不打开其他相似主机寻找所谓正确入口。
大小写、末尾点、国际化编码和浏览器显示形式可能不同，比较前采用明确的规范化规则并保留原显示摘要。无法确定转换是否正确时写UNKNOWN。截图裁掉个人资料、历史建议和其他标签页。
- 主机证据不包含查询账户和会话
- 规范化规则与原显示摘要同时保存
- 不通过尝试相似地址来解决告警
逐项读取SAN而不猜测覆盖
覆盖判断以证书SAN字段为主要观察，不因组织名称、页面标题或颁发者名称相似而放宽。每个候选名称按完整标签比较，并记录证书查看界面与浏览器版本。看不到SAN时不使用旧截图或搜索结果补值。
一个证书含多个名称时逐项匹配，找到明确覆盖才写match；全部明确不覆盖写mismatch；信息缺失或规范化冲突写UNKNOWN。判断仅说明名称关系，不证明目标业务可信、授权或安全。
- 覆盖依据来自当前证书名称字段
- 多名称逐项比较并保存结果
- 名称匹配不扩展为业务身份保证
正确处理通配符与标签层级
通配符通常只作用于规则允许的单一标签位置，不能跨越多个层级，也不能覆盖裸主机。应把主机拆成标签数组，与证书模式按规则比较。示例只使用虚构名称，避免让训练材料看似指向现实地址。
编辑不能用“看起来属于同一域”替代匹配。公共后缀、国际化字符和相似字形会增加误读，应交给受控解析规则并保留版本。规则无法处理的边界保持UNKNOWN，不手工按经验放行。
- 通配符按明确标签层级计算
- 裸主机和多层子域分别测试
- 无法解析的边界默认维持停止
把名称异常设为独立硬停止
mismatch或UNKNOWN状态一旦出现，当前流程只允许保存脱敏证据、关闭页面和生成升级卡。响应层全部标未测，缓存恢复、网络对照和登录尝试从可选动作中移除。高级继续按钮即使可见，也不是诊断步骤。
停止卡写trigger、actions_not_taken、evidence_ref和escalation_role，证明人员没有输入资料或关闭保护。安全退出后不连续刷新验证，也不通过另一浏览器寻找无告警结果。不同结果需由授权人员在受控环境解释。
- 停止后响应与页面交互一律未测
- 日志明确记录未执行的高风险动作
- 不同浏览器结果不用于自助放行
区分名称问题与其他日期告警
系统时间错误可能造成过期或尚未生效提示，但不能解释主机名称不覆盖。即使校准受信系统时间后日期告警消失，也必须重新读取SAN关系。多个告警同时存在时分别记录，任何一个未解决都维持停止。
未知签发、协议降级和名称异常也不能互相覆盖。分类是为了把证据交给合适角色，不是寻找较轻的一项继续。浏览器只给综合提示时warning_type写UNKNOWN并保留原文。停止卡随后从缓存、网络、登录和响应任务中撤回所有可执行动作，并记录同步结果。若某个消费者仍提供继续路径，总状态保持未完成。新证书到位后须重新采集主机、SAN、日期与信任四组证据，不能只关闭旧提示。
- 名称匹配与日期校验分别判断
- 多重告警不会互相抵消
- 综合提示无法拆分时仍执行停止
安全交接给有权限的管理角色
升级资料包含脱敏主机、SAN判断、浏览器原文、系统时间状态、测试时间和未执行动作，不包含Cookie、完整IP、账户与私钥。问题限定为核对该主机是否应由当前证书覆盖，不要求接收者提供敏感配置。
若设备受组织管理，沿既有支持渠道交接；个人设备则由所有者使用系统安全工具核对。排障记录不推荐安装未知根证书、配置描述或远程控制。处理结论返回时新增事件，不改写最初告警。新事件必须包含证书观察版本、主机规范形式、匹配规则版本、核对时间和未决项。若只说配置已改却没有新SAN证据，停止状态保持。界面、接口、任务队列和缓存共同读取clearance版本，防止某处提前恢复普通操作。历史告警仍可展开，帮助审计通配符、国际化编码或地址输入是否曾被误判。
- 升级材料只含完成核对所需字段
- 接收角色与设备管理边界相匹配
- 后续结论以新事件保留原始告警
用反例验证停止机制不会失效
合成测试覆盖明确匹配、明确不匹配、SAN不可读、通配符跨层、国际化显示冲突和多重告警。mismatch与UNKNOWN两类都应移除继续动作，页面和导出保持同一状态。测试资料与现实主机隔离。
质量复核还检查截图不展示高级按钮操作、文本没有关闭保护或换地址尝试，并从停止卡反查证据。通过只证明安全分支按设计工作，不证明任何现实证书可信或页面可用。测试矩阵包含裸主机、单层通配符、多层子域、末尾点、大小写、国际化编码、相似字符和SAN不可读；每个非明确匹配项都应保持停止。再模拟停止状态传播失败，例如缓存页仍展示普通恢复按钮、旧任务仍在队列或导出把UNKNOWN写成通过，任何一处失败都阻断发布。处理人员的确认必须引用新的证书观察版本。
- 反例覆盖通配符国际化边界未知编码输入和主机显示截断
- 界面接口和导出共享停止状态
- 测试结论不得映射到现实站点身份并须覆盖裸主机多层标签末尾点相似字符解析失败缓存延迟旧任务残留解除证据过期以及安全状态在所有消费者的同步核账和新观察反向追踪
