什么是 DANE（RFC 6698）？它和 TLS 证书有什么关系？

DANE（DNS-Based Authentication of Named Entities，RFC 6698）利用 DNSSEC 的签名，把“某个域名应当使用哪张 TLS 证书（或哪个受信任的 CA）”直接发布在 DNS 中，从而在 TLS 握手时验证对端证书。

传统 TLS 依赖公共 CA 体系来信任证书；DANE 另辟路径：以 DNSSEC 为信任根，用 DNS 记录声明证书的期望，使验证不再单纯依赖公共 CA。