当用户直接访问 domain2.com（无www）时，浏览器在发起HTTP请求前就因证书域名不匹配而阻断连接并显示红色警告——此时Apache的.htaccess重写规则根本不会执行，必须通过证书覆盖+全链路配置双管齐下才能根治。
当用户直接访问 `domain2.com`（无www）时，浏览器在发起http请求前就因证书域名不匹配而阻断连接并显示红色警告——此时apache的`.htaccess`重写规则根本不会执行，必须通过证书覆盖+全链路配置双管齐下才能根治。
这个问题的本质，不是重定向逻辑失效，而是安全拦截发生在HTTP层之前。现代浏览器（尤其是iOS Safari、Chrome for Android等移动端浏览器）遵循严格的TLS握手前置校验机制：一旦用户输入 https://domain2.com 或点击该链接，浏览器会立即向服务器发起TLS握手请求，并在收到服务器返回的证书后第一时间验证其Subject Alternative Name（SAN）字段是否包含 domain2.com。若不包含，浏览器会在建立任何HTTP连接前就弹出“您的连接不是私密连接”“NET::ERR_CERT_COMMON_NAME_INVALID”等红色警告——此时 .htaccess 中的 RewriteCond 和 RewriteRule 根本没有机会运行，因为Apache的mod_rewrite模块只在HTTP请求解析阶段生效，而TLS证书校验发生在更底层的SSL/TLS协议栈。
因此，仅靠以下这类重定向规则是无效的：
# ❌ 错误思路：试图用HTTP重定向“挽救”HTTPS证书错误
RewriteEngine On
RewriteCond %{HTTP_HOST} !^www\.
RewriteRule ^(.*)$ https://www.%{HTTP_HOST}/$1 [R=301,L]该规则仅对 http://domain2.com（即明文HTTP请求）生效；但用户在地址栏输入 domain2.com 后，现代浏览器默认会自动补全为 https://domain2.com 并直连443端口，跳过HTTP→HTTPS跳转环节，直接触发证书校验失败。
✅ 正确解决方案分三步，缺一不可：
1. 证书必须覆盖主域名与www子域名（核心前提）
你的SSL证书的SAN（Subject Alternative Name）字段必须同时包含：
- domain2.com（主域名）
- www.domain2.com（带www版本）
⚠️ 注意：通配符证书 *.domain2.com 不包含 domain2.com！根据RFC 6125，通配符仅匹配一级子域名（如 www.domain2.com, api.domain2.com），不匹配根域。务必在申请证书时显式添加 domain2.com 到SAN列表。
推荐操作（2026年实操）：
- 使用 乐此云签（letsssl.cn） 申请免费证书 → 勾选 “泛域名，包含根域” → 输入 domain2.com → 系统自动生成含 domain2.com 和 *.domain2.com 的双域名证书；
- 或使用Certbot命令行申请：
certbot certonly --apache -d domain2.com -d www.domain2.com
2. 服务器配置需同步支持双域名HTTPS服务
确保Apache虚拟主机配置中，ServerName 和 ServerAlias 明确声明两个域名，并指向同一组证书文件：
<VirtualHost *:443>
ServerName domain2.com
ServerAlias www.domain2.com
DocumentRoot /var/www/domain2
SSLEngine on
SSLCertificateFile /path/to/fullchain.pem # 包含域名证书 + 中间证书
SSLCertificateKeyFile /path/to/privkey.pem # 私钥文件
# ✅ 强制所有访问走www（在证书有效前提下）
RewriteEngine On
RewriteCond %{HTTP_HOST} ^domain2\.com$ [NC]
RewriteRule ^(.*)$ https://www.domain2.com/$1 [R=301,L]
# 其他配置...
</VirtualHost>? 验证要点：使用 SSL Labs SSL Test 扫描 https://domain2.com 和 https://www.domain2.com，确认两者均显示 "Certificate: Trusted, Valid" 且SAN列表一致。
3. 消除混合内容与中间节点隐患（移动端特别关键）
移动端浏览器对安全策略更为敏感，还需检查：
- CDN/WAF是否重复卸载HTTPS？ 若使用Cloudflare、阿里云CDN等，需确保其“源站协议”设为HTTPS，并在CDN控制台单独上传并绑定 domain2.com 的证书（不能只绑 www.domain2.com）；
-
HSTS头未启用？ 在HTTPS配置中加入：
Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"
可防止用户首次访问HTTP时被劫持，但注意：启用前务必确保所有子域均支持HTTPS；
- WordPress等CMS硬编码HTTP链接？ 检查数据库选项 siteurl 和 home 是否为 https://www.domain2.com，避免页面内加载HTTP资源触发“混合内容”警告。
总结：移动端HTTPS问题排查黄金顺序
- 先验证证书本身 → 用 openssl s_client -connect domain2.com:443 -servername domain2.com | openssl x509 -text 查看SAN；
- 再验证服务器响应 → curl -I https://domain2.com 确认返回200且无重定向循环；
- 最后检查全链路 → DNS解析是否指向正确IP、防火墙443端口是否放行、CDN/WAF证书是否同步、客户端缓存是否清除。
记住：.htaccess 是HTTP层的“交通协管员”，而SSL证书警告是TLS层的“海关安检”。想让协管员上岗，得先让海关放行——证书覆盖，永远是HTTPS稳定的地基。
