凭证轮换与 TLS 会话中的密钥更新（rekeying）思路一致：不改变连接或运行的连续语义，只在固定时间或事件间隔替换底层凭证。