ocsp响应解析需先确认der编码格式，用d2i_ocsp_response()解析；pem格式须先解码；解析后须依次验证状态、单条状态、时间有效性及签名，且证书链和内存管理必须严格匹配。
OCSP响应解析前必须确认 ASN.1 编码格式
OpenSSL 的 OCSP_response_parse() 并不存在 —— 这是常见误解。C++ 中解析 OCSP 响应实际依赖 OpenSSL 提供的 ASN.1 解析接口，核心是把原始字节流（DER 编码）喂给 d2i_OCSP_RESPONSE()。如果输入是 PEM 格式（即带 -----BEGIN OCSP RESPONSE----- 头尾），得先用 PEM_read_bio_OCSP_RESPONSE() 或手动剥离头尾 + Base64 解码再调用 DER 接口。
容易踩的坑：
- 直接传 PEM 字符串给
d2i_OCSP_RESPONSE()会返回nullptr，且不报错，只静默失败 - 未检查 OpenSSL 初始化状态（
OPENSSL_init_ssl()或旧版SSL_library_init()）可能导致 ASN.1 解析器未注册，解析始终失败 - OCSP 响应可能被压缩（如使用 DEFLATE），但 OpenSSL 不自动解压；需在 HTTP 层或自定义 BIO 中提前处理
用 d2i_OCSP_RESPONSE() 解析后要立刻检查有效性
成功调用 d2i_OCSP_RESPONSE() 只代表 ASN.1 结构可读，不代表响应合法。必须依次验证：
-
OCSP_response_status()返回值是否为OCSP_RESPONSE_STATUS_SUCCESSFUL -
OCSP_resp_find_status()能否在响应中定位到目标证书的OCSP_SINGLERESP条目 -
OCSP_single_get0_status()返回的status是否为V_OCSP_CERTSTATUS_GOOD/V_OCSP_CERTSTATUS_REVOKED/V_OCSP_CERTSTATUS_UNKNOWN - 调用
OCSP_check_validity()核对producedAt、thisUpdate、nextUpdate时间窗口（注意时区与系统时钟偏差）
漏掉任意一项都可能把过期、伪造或不匹配的响应当成有效结果。
验证 OCSP 响应签名需要加载签发者证书链
OCSP_basic_verify() 不会自动从响应里提取并信任 issuer 证书 —— 它只用你传入的 certs 参数（STACK_OF(X509)*）来构建验证路径。常见错误是只传入 OCSP 响应里的 responderCert，却没附上其上级 CA 证书。
实操建议：
- 从 OCSP 响应中用
OCSP_resp_get0_certs()提取内嵌证书（如果有），但不能全信；优先以已知可信的 CA 证书池为准 - 若响应使用 RSA 签名但你的 OpenSSL 编译时禁用了 RSA（如 FIPS 模式），
OCSP_basic_verify()会返回 -1 并设置错误码ERR_R_UNSUPPORTED - 验证失败时务必调用
ERR_print_errors_fp(stderr)，否则看不到底层是密钥类型不匹配还是摘要算法不支持
内存管理不匹配会导致段错误或内存泄漏
OpenSSL 的 OCSP 相关结构体（如 OCSP_RESPONSE*、OCSP_BASICRESP*、OCSP_SINGLERESP*）全部由 OpenSSL 内部 malloc 分配，必须用对应函数释放：
-
OCSP_RESPONSE*→ 必须用OCSP_RESPONSE_free()，不能用free()或delete - 从
OCSP_resp_get0_produced_at()等 getter 获取的指针是借用的，不可 free - C++ RAII 封装时，注意
OCSP_RESPONSE*构造失败（返回nullptr）时析构函数不能调用_free()
最隐蔽的问题：多次调用 d2i_OCSP_RESPONSE() 处理同一块内存，而没先 OCSP_RESPONSE_free() 上一次结果，会导致内存泄漏叠加 —— 因为 OpenSSL 不做重复分配保护。
C++免费学习笔记（深入）：立即使用
在学习笔记中，你将探索 C++ 的入门与实战技巧！
