ssl - 双向 TLS 身份验证中的飞行 CA 证书

Question

最近我正在调试 MQTT 客户端和代理之间的相互 TLS 问题。
对于 TLS 设置，使用自签名 CA 来签署服务器证书和客户端证书。
服务器和客户端信任库都存在 CA 证书。
在我观察到的握手过程中，两个代理(RabbitMQ 和 Mosquitto)都发送了 CA 证书和服务器证书。
但是在客户端上，除了 JAVA(PAHO)，Python 和 nodejs 客户端都将他们拥有的 CA 证书连同他们的响应一起发送到服务器。
如果 CA 证书已经安装在服务器和客户端的信任库中，为什么它们要在握手期间交换 CA？
PS:JAVA 客户端也从未在其响应中发送 CA 证书。在这种情况下，如果服务器未发送证书，则握手失败，但对于其他客户端，即使服务器未在握手中发送 CA，客户端也会在其响应中发送 CA，并且握手成功。

Answer 1

一般来说，根 CA 证书不需要在 TLS 握手中发送，无论是客户端证书还是服务器证书。信任 anchor (即作为信任链基础的根证书)需要已经被对等方信任，因此不能从仍然不受信任的网络连接中获取。如果根 CA 仍然发送，它将被简单地忽略。