在公钥基础设施中，证书吊销列表（CRL）是证书颁发机构用来公布失效证书的核心机制。Ruby通过标准库openssl提供了完整的X509 CRL操作接口，开发者可以在服务端动态生成、更新列表，也可以构建增量形式的Delta CRL以减轻分发压力。理解CRL内部字段与更新逻辑，是搭建可控PKI系统的前提。
CRL基础结构与Ruby生成完整列表
X509 CRL由版本号、签名算法、颁发者名称、本次更新时间、下次更新时间、吊销条目集合以及签名组成。在Ruby中，OpenSSL::X509::CRL类封装了这些属性。创建一份基础CRL时，需要先设置颁发者，再逐条添加被吊销证书，最后用CA私钥签名。吊销条目必须包含证书序列号与吊销时间，可选原因是代码或说明。
下面示例展示如何用Ruby生成一份包含两张吊销证书的基础CRL。注意last_update与next_update的时间窗口决定了客户端缓存有效期，设置过短会增加拉取频率，过长则延迟失效传播。
require 'openssl'
ca_cert = OpenSSL::X509::Certificate.new(File.read('ca.crt'))
ca_key = OpenSSL::PKey::RSA.new(File.read('ca.key'))
crl = OpenSSL::X509::CRL.new
crl.version = 1
crl.issuer = ca_cert.subject
crl.last_update = Time.now
crl.next_update = Time.now + 86400
# 添加吊销条目
revoked1 = OpenSSL::X509::Revoked.new
revoked1.serial = 1001
revoked1.time = Time.now - 3600
revoked1.extensions = [OpenSSL::X509::Extension.new('CRLReason', 'keyCompromise')]
crl.add_revoked(revoked1)
revoked2 = OpenSSL::X509::Revoked.new
revoked2.serial = 1002
revoked2.time = Time.now - 1800
crl.add_revoked(revoked2)
crl.sign(ca_key, OpenSSL::Digest::SHA256.new)
File.write('ca.crl', crl.to_pem)
上述代码生成的CRL采用SHA256签名，符合当前安全实践。在实际系统中，应将序列号与吊销时间持久化到数据库，每次更新时重新组装并签名。若CRL体积随吊销数量增长而膨胀，客户端下载将变慢，此时Delta CRL就显得必要。
Delta CRL的原理与Ruby签发逻辑
Delta CRL并不直接替代基础CRL，而是记录自上一个基础CRL发布以来变动的吊销项。RFC 5280定义了CRL扩展中的delta_crl_indicator，其值为所基于的基础CRL编号。客户端校验时，需先加载对应基础CRL，再叠加Delta CRL中的条目，才能得到完整吊销视图。
在Ruby中签发Delta CRL与基础CRL类似，但必须添加OpenSSL::X509::Extension指明delta_crl_indicator以及authority_key_identifier等关联信息。以下示例构建了一个基于基础CRL编号5的Delta CRL，仅包含新增吊销的序列号1003。
delta = OpenSSL::X509::CRL.new
delta.version = 1
delta.issuer = ca_cert.subject
delta.last_update = Time.now
delta.next_update = Time.now + 3600
rev = OpenSSL::X509::Revoked.new
rev.serial = 1003
rev.time = Time.now
delta.add_revoked(rev)
# 声明为基础CRL编号5的增量
delta.extensions = [
OpenSSL::X509::Extension.new('delta_crl_indicator', OpenSSL::ASN1::Integer.new(5).to_der, false),
OpenSSL::X509::Extension.new('authority_key_identifier', ca_cert.extensions.find{|e| e.oid == 'subject_key_identifier'}.value)
]
delta.sign(ca_key, OpenSSL::Digest::SHA256.new)
File.write('delta.crl', delta.to_pem)
Delta CRL的next_update通常短于基础CRL，因为它仅反映短期变化。运维上可每小时发布Delta，每天发布基础CRL，从而在时效与带宽间取得平衡。需要警惕的是，若客户端未正确关联基础CRL编号，会忽略Delta导致漏判吊销。
更新策略与证书校验中的整合实践
在Ruby服务端校验对端证书时，可结合基础CRL与Delta CRL使用OpenSSL::X509::Store。先将基础CRL加入store，再添加Delta CRL，OpenSSL内部会自动合并。更新流程建议由定时任务触发：每日零时重签基础CRL，每小时重签Delta并自增CRL编号。
下表对比两种列表在典型场景下的差异：
| 类型 | 包含范围 | 发布频率 | 体积 |
|---|---|---|---|
| 基础CRL | 全部历史吊销 | 低（如每日） | 大 |
| Delta CRL | 增量变更 | 高（如每小时） | 小 |
代码层面，校验时可显式加载两者：
store = OpenSSL::X509::Store.new
store.add_cert(ca_cert)
store.add_crl(OpenSSL::X509::CRL.new(File.read('ca.crl')))
store.add_crl(OpenSSL::X509::CRL.new(File.read('delta.crl')))
store.flags = OpenSSL::X509::V_FLAG_CRL_CHECK | OpenSSL::X509::V_FLAG_CRL_CHECK_ALL
begin
store.verify(peer_cert)
puts '证书有效'
rescue OpenSSL::X509::StoreError => e
puts "校验失败: #{e.message}"
end
这种整合方式让系统在证书刚被吊销的一小时内即可通过Delta感知，而不必等待基础CRL轮转。对于大规模PKI，还可将CRL分发至CDN，并结合HTTP缓存头进一步降低源站压力。掌握Ruby OpenSSL的X509 CRL与Delta CRL管理，能有效提升安全响应速度与系统效率。
Ruby_OpenSSLX509_CRLDelta_CRL修改时间：2026-08-17 07:20:34