第 73 章 卷八 安全：导言

本章导读

卷七结束时，你的程序可以把字节可靠地送到世界任何一角——但互联网上每一次传输都要经过你无法审计的骨干网、机房与代理。卷八回答的问题是：怎么在不信任的信道上建立信任。这一卷是 XRT 自研密码栈的完整地图：从最小原语（哈希、HMAC、AEAD、RSA/ECDSA/Ed25519/x25519）到证书解析与验证（DER/PEM、X.509、信任链），最终在 TLS 客户端与服务端把全部原语组装成"一次握手、双向信任、逐记录加密"的传输层。

本卷的展开顺序是一条信任金字塔，自底向上每层只依赖下层：

为什么要在 2026 年自研密码栈而不是调用 OpenSSL？XRT 的答案写在裁剪表里：密码底座按最小原语切分——只用 WebSocket 的 SHA-1 或令牌随机数的程序不必携带完整 TLS；嵌入式目标可以只要 ChaCha20-Poly1305 而不要 RSA；每个特性宏独立可裁。这套切分也让教程有机会把每层"为什么存在"讲透——多数密码库教程只能教"怎么调用"，因为内部是一团。XRT 的分层是显式的：CRYPTO_CORE（摘要元数据、安全清零、常量时间比较）之上，摘要、HMAC/HKDF、AEAD、密钥交换、签名各自独立成层，X.509 与 TLS 再逐层组合。

两条横切纪律贯穿全卷，先立在这里，后面每章都在兑现：

• 密钥生命周期：密钥从哪里来（随机源、口令派生、DH 协商）、存活多久（会话、进程、持久）、如何消亡（xrtSecureZero、Clear）——每个环节都有明确 API。密钥不是普通数据：它在日志、交换文件、崩溃转储中都可能留痕，纪律章（76）专门讨论。
• 失败必须单一：验证失败就是失败——AEAD 的 Open 标签不符整体拒绝、不返回"可能被篡改的明文"；证书验证失败就是失败——没有"继续但警告"。密码学的安全边界靠这些铁律维持，任何"容错"都是攻击面。

与前后的衔接：卷七的 xnetstream 是本卷 TLS 的承载体（第 87 章直接产出加密流）；卷九的 HTTP/HTTPS 与卷十的 xhttp 建立在 TLS 之上；而第 12 章的随机源（xrtSecureRandom）是本卷所有密钥的熵起点——密码模块显式依赖独立的 RANDOM_SECURE 特性，文件与网络设施不必因此携带密码算法。反向地，本卷学到的"完整性思维"（摘要、MAC、AAD 绑定）会在卷九的分帧与升级协议里再次出现。

三类读者三种走法。应用开发者（目标是用 HTTPS）：直奔第 82 章 TLS 客户端，再回头按需补第 80 章验证策略——但至少读完第 77 章纪律，错误使用比不用更危险。协议/中间件开发者（自定义协议、令牌、缓存签名）：精读 73-76 四章——哈希/KDF/AEAD/非对称是直接工具箱，证书与 TLS 可暂缓。审计/安全工程师：全卷按序读，重点在 76（纪律）与 79（信任链与吊销）——这两章集中了"安全系统如何失效"的模式库。

卷八的学习方法：先读禁令，再读接口

卷八各章的"契约"节有一个共同结构：先写不得做什么，再写可以做什么——MD5 章先声明"不具备抗碰撞安全性"，AEAD 章先声明"标签不符不得使用输出"，证书章先声明"验证失败不得继续"。这与前七卷"契约写保证"的写法相反，因为密码学的失效模式是看不见的：nonce 重复不会报错、常量时间比较与否不影响功能测试通过、错误的验证策略照样能连上服务器——缺陷只在攻击者利用时显形，而那时已经太晚。所以本卷的正确读法是把每条禁令当作 API 的一部分来记：禁令与函数签名同等重要，违反禁令的代码与调用不存在的函数一样是错的。配套的学习习惯是"亲手看它失败"：每章的避坑与练习都安排了破坏性实验（篡改、重放、乱序），跑通一次失败路径的印象胜过读十遍成功路径。

一个提醒：密码学不是安全的全部

本卷给你的是密码学原语——它们解决"算法层正确"；而真实系统的安全还依赖另外两层：协议层正确（字段顺序、状态机、降级保护——第 82-84 章 TLS 的实现里你会看到协议正确性比算法选择更容易出错）与系统层正确（密钥存储、权限、日志脱敏、更新通道——第 77 章纪律章的领域）。一个常见错觉是"用了 AES-256 所以安全"——算法强度是三层中最不容易成为短板的一层，攻击者永远先找另外两层。带着这个分层视角读卷八：每学一个原语，就问一句"它的密钥从哪来、存在哪、谁能碰"——这个问题会把你的注意力引向真正的短板。

学习检验（离开本卷前自测）：

• 能否对任意一段数据说出"用哈希、HMAC 还是签名"——三者的密钥模型与信任假设各是什么？
• 能否解释 AEAD 的 nonce 为什么"同一密钥下必须唯一"，以及计数器与随机器两种管理法的取舍？
• 能否徒手画出 TLS 1.3 握手的四条消息（ClientHello、ServerHello、Finished、Finished）各携带什么、验证什么？
• 拿到一份 DER 与一份 PEM，能否说出它们的关系与转换方向？
• 你的程序里现在有几处密钥材料？每一处的来源、存储、清除路径是否都能回答？

答不上来的，回到对应章——本卷的章节之间是严格的积木关系，上层含糊几乎总能追溯到下层某一章。