Apache仅设SSLCertificateFile不能部署通配符证书——必须同时配置SSLCertificateKeyFile指定私钥、SSLCACertificateFile（或合并中间证书）补全信任链，否则客户端无法验证证书颁发者。
Apache 使用 SSLCertificateFile 本身**不能直接部署通配符证书**——这个指令只用于指定服务器的**公钥证书文件（即 .crt 或 .pem）**，而通配符证书的正确部署需要同时配置证书链和私钥，并确保 Apache 能完整识别证书主体（如 *.example.com）与请求域名匹配。
通配符证书在 Apache 中的必要配置项
一个有效的通配符 HTTPS 配置必须包含以下三项，缺一不可：
-
SSLCertificateFile：指向通配符证书主体文件（例如
_wildcard.example.com.crt），该文件通常只含通配符域名的公钥证书； -
SSLCertificateKeyFile：指向对应的私钥文件（例如
example.com.key），必须与证书配对且未加密（或已用SSLPassPhraseDialog处理）； - SSLCertificateChainFile（旧版本）或更推荐的 SSLCACertificatePath/SSLCACertificateFile（2.4.8+）：用于补全中间证书。通配符证书几乎总是由中间 CA 签发，缺少中间证书会导致浏览器“无法验证证书颁发者”错误。
为什么仅设 SSLCertificateFile 不够
通配符证书本身没有特殊格式限制，Apache 并不区分“通配符”或“单域名”证书——它只按标准 X.509 规则校验：
- 请求的 Host 头（如 api.example.com）是否匹配证书中的 Subject Alternative Name (SAN) 条目（如 DNS:*.example.com）；
- 证书是否在有效期内、未被吊销、签名可验证。
但若 SSLCertificateFile 只包含终端证书，而缺失中间证书，客户端（尤其是移动端和旧系统）可能无法构建完整信任链，导致连接失败或警告。
推荐的配置写法（Apache 2.4.8+）
将终端证书与中间证书合并为一个文件（顺序：终端证书在前，中间证书紧随其后），然后统一用 SSLCertificateFile 指向它，私钥单独指定：
SSLEngine on SSLCertificateFile /path/to/wildcard_and_intermediates.pem # 含 *.example.com.crt + intermediate.crt SSLCertificateKeyFile /path/to/example.com.key # SSLCACertificateFile 不再需要（因已合并）
验证方式：
- 运行 openssl x509 -in wildcard_and_intermediates.pem -text -noout | grep -A1 "Subject.*CN\|DNS" 确认 SAN 包含 *.example.com；
- 用 curl -Iv https://test.example.com 检查是否返回 SSL certificate verify ok。
常见踩坑点
- 混淆 CSR 和证书：通配符证书需用通配符 CSR（
subjectAltName=DNS:*.example.com）申请，仅改域名不重签无效； - 私钥权限错误：Apache 子进程需能读取私钥，建议
chmod 600并属主为root； - 未重启 Apache 或重载配置：修改后执行
apachectl configtest && apachectl graceful； - CDN 或反向代理干扰：若前端有 Nginx/Cloudflare，实际 TLS 终结不在 Apache，此时应在其上配置证书，而非 Apache。
