包来源证书透明与吊销治理（CT-OCSP-CRL）最佳实践

实现示例type CertStatus = { ct: boolean; ocsp: boolean; crl: boolean }

function trusted(s: CertStatus): boolean {

return s.ct && (s.ocsp || s.crl)

}

function decide(status: CertStatus): 'allow' | 'fallback' | 'block' {

if (trusted(status)) return 'allow'

if (status.ct && !(status.ocsp || status.crl)) return 'fallback'

return 'block'

}

审计与运行治理审计记录包含 CT/OCSP/CRL 状态与决策；异常触发受控回退。来源变更需审批；回退结束后执行完整性与来源复核。