最近看了下 https 双向认证，有些点没搞懂，还请大家指教一下。
1.客户端证书是怎么生成的？
看网上说是由颁发服务端证书的 ca 生成的，感觉应该不对吧？也许实际应用中是用服务端自签名证书生成的？
2.客户端证书是怎么安装到客户端的？
分 app 和网页两种情况；对于不同的用户，安装的 app 应该都是一样的吧，那就是说大家用的都是同一个客户端证书，感觉不对吧？而且如果是安装时内置的话，那网页要怎么办呢，网页没有安装的过程吧？所以应该是安装之后生成的？但是生成又需要 ca 私钥，这东西不可能内置在客户端，那是通过网络传给客户端的吗，这样没法保证安全，应该也不是的吧？
3.双向认证怎么防止抓包的呢？
以这里 https://cloud.tencent.com/developer/article/1171381 第五节的图为例，我如果抓包，只要把 4 和 6 透传给服务端，然后把 8 透传给客户端，不就能正常拦截到 9 （之前已经把服务端证书替换成抓包软件证书），也就拿到了对称加密密钥了吗？
再次感谢大家指导。