CA证书（数字证书）是互联网世界里的 “身份证” 。它由一个权威机构（CA，证书颁发机构）签发，用来证明一个实体（比如一个网站、一台服务器或一个人）的身份是真实可信的。
运行原理
比如你现在想和一个人开一个聊天室聊天，但你怎么知道对面来的那个人就是你要找的人呢？
第一步：亮身份证
当你打开浏览器访问一个网站时，对方（网站）会先把它的“身份证”——也就是CA证书——亮给你看。这个身份证是由权威机构（比如“国家”级别的CA）发放的，上面有它的身份信息和一个独一无二的“公章”。你的浏览器早就被教会了怎么辨别这个公章的真假（浏览器内置了可信CA的列表和验证方法）。
第二步：验证真伪
浏览器仔细检查身份证：公章是不是真的？有没有过期？是不是发给这个网站的？如果一切OK，你就放心了：对面确实是你想找的人，不是冒牌货。
第三步：拿到“生物锁盒子”
你验证完身份证后，会发现身份证上还附带了一个特殊的生物锁盒子——这就是公钥。这个盒子是经过权威机构担保的，它有一个神奇的特性：任何人都可以把东西放进去锁好，但只有盒子的主人（也就是对面那个人）才能用自己的指纹打开。
第四步：安全地送密码
你想：接下来我们聊天得有个只有咱俩知道的密码吧？于是你生成一个临时密码（叫“会话密钥”），把它放进那个生物锁盒子里，然后锁上盒子，发给对方。
第五步：对方开锁进聊天室
对方收到盒子后，用自己的指纹（私钥） 轻轻一按，盒子打开，拿到了你设置的临时密码。然后他用这个密码进入聊天室。
第六步：加密聊天
之后你们在聊天室里的所有对话，都会用这个临时密码进行加密。即使有人偷听到你们的对话，看到的也只是一堆乱码。
