电子证书查询系统是一套把证书模板、批量签发、编号规则、在线查询与批量核验串起来的工具系统：后台按模板生成带编号与二维码的电子证书、对外提供查询页或接口、支持吊销与补发、并对查询行为做限流与脱敏。它要解决的不是「证书做得漂不漂亮」，而是「发出去的每一张都能被唯一地验证」。
这一点决定了系统的重心：签发只做一次，核验会被做无数次。
电子证书查询系统是一套什么系统？
是一套做证书签发与真伪核验的工具系统；核心不是发得漂亮，而是验得唯一。
四层结构：
第一层，模板。 版式、可变字段、印章位、二维码位，一种证书一套模板。
第二层，签发。 批量导入名单、按规则生成编号、输出 PDF 或图片、推送领取。
第三层，核验。 查询页、小程序、开放接口三条入口，支持单条查询与批量核验。
第四层，状态。 有效、已吊销、已补发、已过期，状态变化要即时反映到查询结果。
四层里最容易做漏的是第四层。 因为签发是「一次性交付」，状态管理却是长期责任。
证书编号怎么设计才不容易被猜？
用不可枚举的随机段 + 校验位；连号编号等于把全部证书送给人爬。
三个要求：
不可枚举。 编号里要有足够长度的随机段，让人无法通过加一加二遍历。
可校验。 加一位校验码，输错能立刻识别，不用查库。
可分组。 前缀区分机构、年份、证书类型，方便统计但不泄露数量。
一个现实风险： 很多系统用「年份 + 六位流水号」，结果查询页被从头扫到尾，人员名单就这么流出去了。
二维码里应该放什么？
放查询地址与证书号，不放个人信息。
三个原则：
只放指针。 二维码内容是一个带证书号的查询链接，扫码后由服务端判定真伪。
不放敏感字段。 姓名、证件号、成绩不写进二维码，因为二维码可以被任意解码。
链接要能失效。 证书吊销后，这个链接的返回结果必须变。
一个细节： 二维码指向的域名要与官网一致并可核验。假证最常见的做法，就是做一个一模一样的查询页放在别的域名上。
查询页为什么要限流与脱敏？
因为可以被批量撞库；不限流的查询页等于一个公开的人员信息库。
四条防护：
限流。 单 IP、单设备、单时段的查询次数上限，超出后进入验证或冷却。
人机校验。 高频查询要加验证码或行为校验，不让人用脚本刷。
结果脱敏。 查询结果只显示必要字段，证件号中间位打码。
日志留痕。 谁查了什么、什么时候查的，留存并可追溯。
一个必须接受的现实： 只要提供查询能力，就一定有爬取尝试。目标不是杜绝，而是让爬取的成本高到不值得。
批量核验怎么做才不伤数据？
用接口 + 授权 + 按需返回，不要给批量导出。
三个设计：
接口授权。 用单位账号与密钥申请，明确用途、有效期与调用配额。
按需返回。 只返回「是否有效」与必要字段，不返回完整名单。
结果存证。 每次批量核验生成一份带时间戳的结果，供双方留档。
对照做法： 有些机构直接给一份 Excel 名单。这份名单一旦流出，比假证更难处理——因为它看起来是真的。
证书吊销之后怎么处理？
查询结果要立刻变；只删数据库不更新查询页，假证照样能验通过。
四个动作：
状态置为吊销。 原证书号保留，状态改为无效并注明原因类别。
查询页即时生效。 结果页显示「已吊销」，不是「查无此证」——两者含义不同。
补发新号。 补发要生成新编号，旧编号永久作废、不可复用。
通知持证人。 吊销与补发都要有通知记录，避免出现「不知道自己被吊销」的争议。
一个常见隐患： 系统只做本地缓存，吊销后缓存没刷新，扫码仍然显示有效。
这类系统最常见的风险是什么？
三个：假查询站、编号枚举、批量导出。
假查询站。 仿冒的查询页做得比真的还像，持证人与用人单位都难分辨——防线在官方渠道公示与域名校验。
编号枚举。 编号可预测，攻击者能扫出真实证书并伪造对应的纸质件。
批量导出。 后台给了「导出全部」按钮，一次误操作就是一次数据泄露。
一个额外风险： 系统把「查询成功」的截图当成验证凭证。截图可以 P，验证必须以系统实时返回为准。
对照赛事报名系统可以看到最常见的上游：赛事成绩出来就要发证书，签发量在几分钟内爆发——所以批量签发必须能扛住瞬时并发。
与业务系统怎么对接？
三个对接点：报名名单、成绩或考核结果、领取与通知。
三个接口：
名单同步。 从报名系统拉取通过名单，字段以证件号或报名号为主键。
结果回写。 签发完成后回写证书号与领取链接，业务系统里能直接看到。
状态回调。 吊销、补发、过期，回调给业务系统更新状态。
对照活动报名与核销系统可以看到同一条链的另一端：报名核销管「人来了没有」，证书系统管「事成了没有」。
落地要按什么顺序推？
先定编号规则，再做模板，最后才做查询。
四步：
第一步，定编号与状态机。 编号规则、校验位、吊销与补发流程，这一步定错后面全要返工。
第二步，做模板与批量签发。 可变字段、印章位、二维码位、导出与领取。
第三步，做查询与限流。 单条查询、扫码查询、人机校验、脱敏与日志。
第四步，做批量核验接口。 授权、配额、结果存证。
顺序不能倒。 先做查询页最容易「看起来完成」，但编号可枚举的查询页，是一个负资产。
对照自定义表单与工单系统可以看到同类工具的通用能力：模板、字段、批量导入、结果导出——证书系统只是把这些能力用在了「一份需要被验证的凭证」上。