云上 HTTPS 连接失败，怎样保存有用的 TLS 证据

HTTPS 请求失败不一定进入了应用层。域名解析、TCP 建连、TLS 协商和证书验证都发生在读取业务响应之前。若把这些阶段的错误统一写成“接口失败”，后续排查就很难找到正确的责任边界。 ## 先确定失败阶段 可以记录客户端的固定错误类别、目标域名、时间及是否收到 HTTP 状态。证书相关问题再核对主机名、证书链和有效期，并确认本机时间没有明显偏差。不要把任何抓到的响应都称为业务接口返回，代理或网关也可能生成错误页面。 ## 不用关闭校验代替修复 关闭证书校验只能改变客户端的接受条件，不能修复域名不匹配或证书链问题。即使临时诊断允许做对照，也应明确标注测试条件，并恢复正常校验。生产调用的成功标准仍然是使用正确主机名，在正常安全检查下完成连接。 复核时保留相同客户端、相同网络出口和相同请求入口，避免一次更换多个条件后失去对照意义。若只有某个环境失败，应进一步比较其代理、信任库与运行版本，而不是立即更换服务端证书。 参考：[curl 手册中的 TLS 和证书选项](https://curl.se/docs/manpage.html)。本文不涉及对真实证书或客户端配置的实际修改。