clientAuth

公共CA与Chrome等浏览器厂商正逐步从TLS证书中移除clientAuth扩展，整体时间窗口指向2027年前后。

各CA移除clientAuth扩展的具体执行日期并不完全一致，组织需要按自身证书供应商的时间表提前核对。

一旦客户端证书缺失clientAuth扩展，严格校验证书用途的服务端会直接拒绝握手。

公共CA移除clientAuth扩展带来的故障不会在部署当天爆发，而是在证书续期时生效。

SPIFFE证书由私有信任域控制，扩展字段和有效期可定制，不受公共CA移除clientAuth的影响。