昨天准备在太太的电脑上用一下 GoAgent，结果发现很多网站都不能用。很奇怪的是，Twitter 页面能打开，但 CSS / JS 看起来基本上都不对。而在我自己的电脑（LAN 内部）上却是好的。所以很明显是 Local 而不是 Network 的问题。
看 GoAgent 控制台上的日志，问题似乎跟 SSL 的连接建立有关系。再把 Chrome 的「审查元素」功能打开，Console 里面一堆错误。随便挑了个页面试图打开，好了，这下清楚了，证书有问题。
看了看 GoAgent 的官方 Q & A，基本上只提到说证书需要导入。很多在网上问这类问题的人，得到的也是类似回答。但问题在于，证书的导入是没有问题的，重新导入也没有效果。而且并不是所有网站都不能通过 GoAgent 代理。
其实问题很简单：GoAgent 仿冒的证书被占用啦。
官方其实也提到过这个事情：
因为 GAE 平台限制，没法支持真正的 ssl 加密，goagent 只能通过伪造证书的方式做到代理 ssl 加密的网站，这个证书就是用来欺骗浏览器的。
GoAgent 实际上相当于一个「中间人」。当访问 HTTPS 站点时，就得采用 SSL 中间人攻击的类似方式，才能完成代理的工作。SSL 中间人攻击怎么弄？导入受信任的根证书，然后利用这个根证书签发的证书把内容拆开后重新组装、加密、封包，骗完甲方骗乙方，欺骗通讯双方。否则两端任何一方觉得这内容不对劲，SSL 传输就会失败。这其实也就是
为什么必须要干掉 CNNIC 相关的根证书的原因
。
所以，对于每一个 HTTPS 站点，GoAgent 都会生成一份用自己根证书签发的数字证书。看看 GoAgent 的 local 目录下，如果访问过 HTTPS 站点，则一定会有一个 certs 目录。这生成的证书，就放在这个 certs 目录下。其实一看这个目录里面都有些什么文件，就很明白了：
这次的问题在于，GoAgent 有不同的版本，其携带的根证书也是变化过的。至少我机器上随便打开 CertMgr 就见到了五个不同的版本：
如果升级的时候不把 certs 目录清空，就有可能会有部分站点对应的证书还是以前的老的、用旧的根证书签发出来的。GoAgent 客户端一看，
噢，证书已经有了，就不再重新生成了。但 Chrome 觉得证书不对，于是 SSL 握手就被挡了。
解决办法很简单，每次升级 GoAgent 的时候，把 local/certs 目录删掉。或者干脆每次用新目录来升级好了。
