轻量专业的 TLS 证书巡检工具

基于系统openssl的TLS证书检查工具，可快速验证证书有效期、SANs、加密套件等关键信息，帮助运维人员及时发现证书过期风险。

基本信息

• 技能名称?expanso-tls-inspect
• 中文名称?轻量专业的 TLS 证书巡检工具
• 作者?aronchick
• 分类?开发
• 版本?v1.0.0
• 标签?devops, security, backend, automation, api, testing

使用方法

使用说明
核心用法
tls-inspect 是一款专注于 TLS 证书检查的专业工具，提供 CLI 和 MCP 两种运行模式。CLI 模式通过调用系统 openssl s_client 命令，对指定主机的 TLS 证书进行真实检测，输出包含证书有效期、颁发者、主题、SANs（主题备用名称）、加密套件等关键信息。MCP 模式则作为服务器运行，返回模拟数据用于测试和演示场景。用户可通过管道输入主机名，或直接部署到 Expanso Cloud 进行云端执行。
显著优点

1. 轻量无依赖 ：仅依赖系统预装的 openssl，无需额外安装复杂依赖库
2. 双模式灵活 ：CLI 模式适合生产环境真实检测，MCP 模式便于集成测试
3. 输出结构化 ：返回 JSON 格式的证书信息，便于程序化处理和自动化告警
4. 错误处理完善 ：连接失败时返回结构化错误信息，不暴露敏感路径
5. 来源可信 ：来自 openclaw 开源组织（13,794 关注者），代码规范透明
   潜在缺点与局限性
6. 功能边界有限 ：仅展示证书基本信息，不支持完整的证书链验证
7. 网络依赖性强 ：CLI 模式必须联网才能执行真实 TLS 握手
8. 端口灵活性不足 ：非标准 443 端口需在主机名中手动指定
9. MCP 模式局限 ：返回模拟数据，无法替代真实安全检测
10. 输入验证较基础 ：缺乏严格的主机名格式校验和非法字符过滤
    适合的目标群体
    运维工程师 ：日常巡检证书到期时间，预防服务中断
    安全工程师 ：快速验证 TLS 配置合规性，排查加密套件问题
    DevOps 团队 ：集成到 CI/CD 流水线，自动化证书监控
    SRE 团队 ：构建证书到期预警系统，降低故障风险
    使用风险
11. 网络连接风险 ：会向用户指定的任意主机发起 TLS 连接，需确保输入可信
12. 系统依赖风险 ：依赖目标系统的 openssl 版本，不同版本输出格式可能存在差异
13. 超时控制缺失 ：当前实现无连接超时配置，可能因网络问题导致长时间挂起
14. 模拟数据误用 ：MCP 模式的模拟数据可能被误用于生产决策，需明确区分使用场景