验证公钥是否正确（没写完）

• 证明公钥的正确性的方法：使用由数字证书认证机构（CA，Certificate Authority）和其相关机关颁发的公开密钥证书。

• 数字证书认证机构处于是客户端和服务器双方可信赖的第三方机构立场上，**威瑞信（veriSign）**就是其中一家非常有名的数字证书认证机构。

• 浏览器在整个通信的最开始会请求服务器的公钥（其实是证书），这里的公钥就是我们常说的 SSL 证书的一部分了。

• 关于 SSL 证书，一般是由专门机构（CA 机构）颁发，其实也就是颁发几个文件，其中有包含私钥信息的文件和包含公钥信息的文件，私钥文件一直秘密地保存在服务器，不会公布出去，公钥文件会在这次请求中下发给浏览器。

• 公钥文件除了包含有公钥密钥信息外，还有其他信息比如域名、颁发机构、有效期等等。

• 每一个证书都包含域名信息，操作系统也维护了一个可信的证书列表。当客户端获得服务器返回的证书后，提取证书里的域名、签发机构等信息，然后根据本地的可信证书列表判断该证书是否可信，然后才提取证书里的公钥并接着和服务器通信，否则给出警告。

• 补充：一般来说，高质量的 SSL 证书需要购买，而且价格不菲。如果对站点的要求没有那么高，也可以在一些网站上申请免费证书，比如SSL证书选购 - 腾讯云、SSL For Free。