我能否查明用户的 Web 浏览器是否为我的自签名 ssl 证书存储了异常？

Question

是否有可能找出，例如在 javascript 中，如果浏览器存储了自签名 ssl 证书的安全异常？

我想向用户提供一条消息，告诉他们在他们尝试导航到通过 https 提供的页面之前，他们会收到安全警告以及证书详细信息，但我只想将该消息提供给以下用户将收到安全警告，即没有为我的安全证书存储异常的用户。
（该网站是为一个新的非营利性非法人协会设立的，因此即使有预算也可能很难获得 CA 证书。）

Answer 1

我想向用户提供一条消息，告诉他们在他们尝试导航到通过 https 提供的页面之前，他们会收到安全警告以及证书详细信息，但我只想将该消息提供给以下用户将收到安全警告，即没有为我的安全证书存储异常的用户。

我认为这是个坏主意。 如果您训练用户相信此类消息，那么中间人攻击者很容易只显示类似的警告，然后使用攻击者证书进行中间人 SSL 攻击。

（该网站是为一个新的非营利性非法人协会设立的，因此即使有预算也可能难以获得 CA 证书。）

首先，有一些免费的 SSL 证书（它们可能不会对证书收费，但会为吊销收费）。除此之外，如果您仅将其与服务器成本或几杯咖啡进行比较，那么简单的证书并不是那么昂贵。 如果你真的想保护你的用户，你不应该使用某种损坏的 HTTPS，而是正确地使用它。

是否有可能找出，例如在 javascript 中，如果浏览器存储了自签名 ssl 证书的安全异常？

虽然我认为显示这样的警告是一个坏主意，但可以在类似情况下使用以下技术，即向用户显示它需要更新其旧软件，因为它不能接受新的证书：

您可以尝试包含来自 https 保护端的资源，例如图像。如果资源的证书失败，现代浏览器（我用最近的 Chrome 和 Firefox 测试过）不会显示警告，而是静默加载失败。您可以使用 Javascript 检查资源是否已加载（用户有证书异常）或没有（无异常）。