双证书智能适配是在单一服务器上同时部署国密（SM2）和国际（RSA/ECC）两套SSL证书。系统会自动识别客户端类型，并使用对应的证书和密码算法建立加密通道，从而在兼容全球浏览器的同时满足国内密码合规要求。
核心架构：双轨并行，智能协同
这套机制依赖于两套并行的技术栈：
双证书部署：服务器端同时配置了基于SM2算法的国密证书和基于RSA/ECC算法的国际标准证书。
双协议栈支持：服务器除了支持标准的国际 TLS 协议（如 TLS 1.2/1.3），还需启用国密标准的 TLCP协议。两者并行工作，等待不同客户端的连接请求。
一、智能适配流程：自动分流，无缝切换
整个智能适配和切换过程，核心在于对TLS握手协议的巧妙运用。
1. 客户端发起连接 (ClientHello)：你（浏览器/App）访问网站时，首先会发起一个 ClientHello 消息，告知服务器你的协议支持能力（例如是否支持国密TLCP）。
2. 服务器精准识别 (SNI)：为精准识别，客户端可能在 ClientHello 中通过 **SNI (Server Name Indication)扩展**携带特定的"标识"。SNI本身用于指明需要访问的网站域名，在多证书场景下被扩展用于传递证书类型偏好。服务器解析此标识，从而明确该选择哪套证书。
3. 按需选择加密通道：握手机制会引导流量进入不同的“分岔路”：
国密通道：如果客户端是360、奇安信等国密浏览器且支持TLCP协议，会优先发起国密TLCP握手，服务器则会自动选择国密证书（SM2） 建立合规加密通道。
国际通道：如果是Chrome、Safari等标准浏览器，会发起标准TLS握手，服务器则会选择国际证书（RSA/ECC） 建立通用加密通道。整个过程用户无感知，体验无缝。
4. 建立安全连接：双方完成协议和算法的协商，最终为你的访问建立一条安全的加密通道。
如果某个国密浏览器握手失败（如证书异常），系统还能**自适应降级**，自动切换回RSA算法以保证服务不中断。
二、键技术：SNI（服务器名称指示）
SNI (Server Name Indication) 在这个机制中扮演着“智能导航”的角色。
在没有SNI的时代，一个服务器IP只能绑定一张证书，因为它无法区分访问者想要连接的是哪个网站。SNI扩展允许客户端在 TLS 握手的 ClientHello 消息中提前告知服务器它要访问的域名（HostName）。
这样一来，即使多个网站共享一个IP地址，服务器也能根据SNI携带的域名信息，在握手的第一步就准确判断该出示哪张证书。双证书智能适配正是借用了这一成熟的机制，通过在SNI或类似扩展中“约定”好国密/国际的标识，来实现证书的智能分发。
三、部署与实现关键点
环境要求：国密模块对软件环境有特定要求，目前主流的支持环境包括 Linux Nginx、Windows Nginx、Linux Apache 等。
配置实践：配置过程通常在Nginx、Apache等服务器上进行，需要加载专门的国密算法模块（如 GmSSL），并在配置文件中分别为443端口或其他指定端口设置两套独立的证书和私钥路径。部分云服务商（如阿里云）也提供了相应的配置选项和预置模块来简化部署。
验证与监控：
功能验证：部署后，需用国密浏览器（如360国密版、红莲花）进行访问，检查地址栏是否出现“m”或“GM”等专属安全标识。
性能监控：需持续监控两套证书的状态，特别是国际证书的 OCSP (在线证书状态协议) 状态是否正常，确保证书链的完整与可信。
