L 文件验证需下载文件，DNS 验证基于域名解析。
SSL文件验证与DNS验证
SSL证书验证
SSL证书在申请过程中,需要验证域名所有权，以确保证书颁发给合法的域名所有者，常见的验证方式有文件验证和DNS验证，这两种方式各有特点，适用于不同的场景。
文件验证
（一）原理
证书颁发机构（CA）会生成一个特定的验证文件，用户需要将该文件上传到服务器的指定目录，通常是在域名的根目录下创建一个隐藏的.wellknown/pkivalidation子目录，然后将验证文件放置其中，当CA的验证系统访问该目录下的验证文件时，如果能够成功获取到文件内容，就证明用户对该域名具有控制权，从而完成验证。
（二）具体步骤
- 获取验证文件：从SSL证书申请平台下载专有的验证文件，如
fileauth.txt，注意不要对文件进行编辑、打开或重命名，且文件有一定的有效期，一般为24小时。 - 创建目录：在服务器上创建指定的目录结构，以Windows系统为例，使用命令
md ".wellknown"创建带点的隐藏目录，然后在其下创建pkivalidation子目录。 - 上传文件：将下载的验证文件上传到刚刚创建的
.wellknown/pkivalidation目录中。 - 等待验证：上传完成后，CA的验证系统会在一段时间后访问该目录下的验证文件进行验证，用户可以通过HTTPS配置检测链接（如
https://您的域名/.wellknown/pkivalidation/fileauth.txt）来检查文件是否可访问。
（三）优缺点
| 优点 | 缺点 |
|---|---|
| 相对简单直接，不需要对DNS进行复杂配置，适合不熟悉DNS管理的用户。 | 需要对服务器有文件写入权限，对于一些限制较多的服务器环境可能无法使用。 |
| 验证过程在本地服务器完成，不依赖外部DNS解析，稳定性较高。 | 如果服务器出现故障或文件被意外删除、修改，可能导致验证失败。 |
DNS验证
（一）原理
CA机构会提供一条特定的TXT记录值,用户需要将这条记录添加到域名的DNS解析设置中，当CA的验证系统查询该域名的DNS记录时，如果能够获取到正确的TXT记录值，就证明用户对该域名具有控制权，进而完成验证。
（二）具体步骤
- 获取TXT记录值：在SSL证书申请过程中，CA会提供需要添加的TXT记录值，一般包括主机记录和记录值。
- 登录DNS管理平台：进入域名注册商提供的DNS管理界面或所使用的DNS服务器管理界面。
- 添加TXT记录：按照要求填写主机记录和记录值，添加新的TXT记录，主机记录可能是
_dnsauth，记录值为example_value（具体值由CA提供）。 - 等待验证：添加记录后，CA的验证系统会在一定时间内查询该DNS记录，以确认验证是否成功。
（三）优缺点
| 优点 | 缺点 |
|---|---|
| 无需在服务器上进行文件操作，适用于各种服务器环境，包括一些没有文件写入权限的服务器。 | 需要对DNS有一定了解，并且要能够正确操作DNS管理界面，对于不熟悉DNS的用户可能有一定难度。 |
| 验证速度通常较快，因为DNS记录的生效相对较快，可以及时完成验证。 | 如果DNS解析出现问题或记录设置错误，可能导致验证失败，而且排查问题可能需要一定的技术知识。 |
文件验证与DNS验证的比较
| 对比项目 | 文件验证 | DNS验证 |
|---|---|---|
| 操作难度 | 较低，主要涉及服务器文件操作，对DNS知识要求少。 | 较高，需要熟悉DNS管理和操作。 |
| 适用服务器环境 | 需要服务器有文件写入权限，对一些限制较多服务器可能不适用。 | 适用于各种服务器环境，不受服务器文件权限限制。 |
| 验证速度 | 一般较慢，需等待CA系统扫描文件，受服务器访问速度影响。 | 通常较快，DNS记录生效快，能及时验证。 |
| 稳定性 | 受服务器状态影响大，服务器故障或文件问题易导致验证失败。 | 受DNS解析稳定性影响，若DNS服务正常则较稳定。 |
相关问题与解答
（一）问题
SSL证书文件验证时,如果服务器是Linux系统，如何创建隐藏目录？
（二）解答
在Linux系统中,可以使用mkdir p .wellknown/pkivalidation命令来创建隐藏目录及其子目录，这里的p参数会自动创建多层目录结构，确保目录创建成功，创建完成后，再将验证文件上传到该目录下即可。
（二）问题
DNS验证时,添加的TXT记录多久会生效？
（二）解答
TXT记录的生效时间取决于DNS服务器的设置和缓存情况,常见的DNS服务器设置下，TXT记录可能在几分钟到几小时内生效，但在某些情况下，如果DNS缓存时间较长或DNS服务器更新不及时，可能会延长生效时间。