Apache不支持单虚拟主机配置多个根证书链，但可通过合并域名证书与中间证书（顺序：域名证书在前、中间证书在后）生成完整链文件，并用SSLCertificateFile指向该文件，使客户端自主选择信任路径，从而兼容新旧系统。
Apache 本身不支持在单个虚拟主机中直接配置“多个根证书链”来分别适配不同客户端，但可以通过正确组织证书链文件（即 证书 + 中间证书 + 根证书（可选））实现对绝大多数现代和旧版浏览器的兼容。关键不在于“多根”，而在于提供完整且顺序正确的证书链，并确保服务器能协商出客户端信任的路径。
理解证书链的组成逻辑
浏览器验证 HTTPS 站点时，会尝试从你的站点证书出发，向上追溯到它本地信任的根证书。这个路径就是证书链。一条有效链通常包含：
- 你的域名证书（
example.com.crt或public.crt）——必须放在最前面 - 一个或多个中间证书（
chain.crt或ca-bundle.crt）——按签发顺序追加，上一级签发下一级 - 权威根证书（如
DST Root CA X3或ISRG Root X1）——通常不放入链文件，因为浏览器已内置；强行加入反而可能引发兼容性问题
例如 Let’s Encrypt 的链现在普遍是：your-cert.pem + ISRG_Root_X1.pem（中间）+ （不放根）；而部分老证书仍需兼容 DST_Root_CA_X3，这时服务商提供的 bundle 文件往往已将两个中间证书按兼容顺序合并好了。
配置 SSLCertificateChainFile 已被弃用，改用 SSLCertificateFile 合并链
Apache 2.4.8+ 版本起，SSLCertificateChainFile 指令已被废弃。正确做法是将域名证书与中间证书合并为一个文件，再通过 SSLCertificateFile 指向它：
- 用文本编辑器打开你的
example.com.crt（或public.crt） - 另起一行，粘贴中间证书内容（
chain.crt或ca-bundle.crt） - 保存为新文件，例如
/etc/ssl/certs/example.com.chained.crt - 在虚拟主机配置中只写这一行：
SSLCertificateFile /etc/ssl/certs/example.com.chained.crt
这样 Apache 在 TLS 握手时会把整段内容发给客户端，由客户端自行选择可用的信任路径——现代浏览器选 ISRG Root X1，较老系统（如 Windows XP / Android 4.x）若信任 DST Root CA X3，也能回溯成功。
验证链是否完整且顺序正确
部署后务必检查链是否被正确发送：
- 用命令行快速检测：
openssl s_client -connect example.com:443 -servername example.com 2>/dev/null | openssl x509 -noout -text | grep "Subject:"
应看到至少两段输出：第一段是你的域名证书，第二段是中间证书 - 访问 SSL Checker 或 DigiCert SSL Installation Diagnostics Tool，输入域名，查看 “Certificate Chain” 是否显示为“complete”且无警告
- 特别注意：如果工具提示 “Incomplete chain” 或 “Extra certs in chain”，说明你可能漏了中间证书，或多加了根证书
特殊情况：需要同时支持国密（SM2）和国际算法
这不是“多根证书链”，而是双栈加密支持。Apache 原生不支持 SM2，需使用定制版（如支持国密的 OpenSSL + 编译增强的 mod_ssl）。此时你会配置两套独立证书：
- 一套国际标准证书（RSA/ECC），用于普通 HTTPS 流量
- 一套国密证书（SM2 公钥 + SM3 签名的证书链），需配合专用模块启用，且仅响应支持国密的客户端（如特定国产浏览器）
- 两者不能混在同一
<VirtualHost *:443>中，需通过 SNI 或独立端口区分
这种场景属于协议级扩展，不属于常规的“多根链兼容”范畴，需专门编译和配置，不在标准 mod_ssl 覆盖范围内。
