Fangliding 解释 CA 证书包与 TLS 库过滤证书的区别
在 Xray-core #7212 更新内置 RootCAs 的讨论中，Fangliding 解释，CA bundle 是白名单机制，只能移除相关根 CA，无法在其中加入黑名单；TLS 库自身则可以通过代码逻辑实施过滤。该回复针对 Go 过滤中间证书与证书包移除根证书的不同处理方式。
作者原文@Fangliding看了下 Go 1.27.3 等新版本把那八张中间证书按公钥过滤掉了，而 golang/crypto@9f2b28d 是直接移除了三张 emSign 根证书
因为 bundle 是白名单机制 只能移除这个根CA 没法加黑名单 但是 tls 库自己是逻辑是随便的
顺便反正这家CA估计也开不下去了