SSLStrictSNIVHostCheck on 是为阻止 TLS 握手时 SNI 域名不匹配请求落入错误虚拟主机，不校验证书本身；必须配置在 <VirtualHost *:443> 块内或 <IfModule ssl_module> 全局段中，不可用于 .htaccess 或顶层配置。
开启 SSLStrictSNIVHostCheck on 不是为了防止“证书报错”，而是为了阻止 TLS 握手阶段的 SNI 域名不匹配请求落入错误的虚拟主机——它不校验证书本身，也不修复证书域名不一致、过期或链不全等问题。所谓“因降级攻击导致的证书报错”，通常属于误解：Apache 本身不因 SNI 开关设置而触发证书层面的警告；浏览器报错（如 NET::ERR_CERT_COMMON_NAME_INVALID）根源在证书绑定域名与请求域名不一致，和该指令无关。
它真正防的是什么
当多个 HTTPS 站点共用一个 IP 时，Apache 靠客户端在 TLS 握手中发送的 SNI 字段来选择对应 <VirtualHost>。如果关闭该指令（默认 off），客户端发错 SNI（比如请求 api.example.com 却填了 www.example.com），或根本不发 SNI（老客户端），Apache 会 fallback 到第一个加载的 HTTPS 虚拟主机，并返回它的证书——此时浏览器发现证书域名和 URL 不符，才报证书错误。
开启后，只要 SNI 值找不到匹配的 ServerName 或 ServerAlias，Apache 就直接终止 TLS 握手，不返回任何证书。用户看到的是连接失败（如 ERR_SSL_PROTOCOL_ERROR），而非证书域名错误。
正确配置位置和写法
该指令不能写在 .htaccess 或主配置顶层（如 httpd.conf 根层级），否则会报错或被忽略。
- 推荐方式：在每个启用 SSL 的
<VirtualHost *:443>块内显式声明 - 替代方式：在
<IfModule ssl_module>全局块中设置（仅 Apache ≥2.4.10 支持） - 错误示例：
SSLStrictSNIVHostCheck on单独写在httpd.conf文件开头 → 报SSLSNIVHostCheck not allowed here
配套必须做的三件事
只开这个指令不解决根本问题，还需同步检查：
- 每个
<VirtualHost *:443>必须有明确的ServerName（且大小写、端口、协议均不包含），SNI 请求值需与之完全一致 - 所有可能被客户端发送的 SNI 域名，都要列在
ServerAlias中；通配符（如*.example.com）在这里无效 - 确认没有遗漏定义的 HTTPS
<VirtualHost>—— 没配ServerName的块可能被当作兜底，默认接收所有不匹配请求
验证是否生效
用 OpenSSL 手动模拟两种场景：
- 测试匹配成功：
openssl s_client -connect example.com:443 -servername example.com→ 应返回有效证书 - 测试 SNI 不匹配：
openssl s_client -connect example.com:443 -servername wrong.example.com→ 若配置生效，会立即断连或显示no peer certificate available - 测试无 SNI：
openssl s_client -connect example.com:443（不加-servername）→ 此时即使开启该指令，也不会拒绝，仍走默认站点
