SSLUserName不能映射证书扩展字段，仅支持固定字符串或预定义DN变量（如SSL_CLIENT_S_DN_CN）；需用SSLOptions +ExportCertData导出完整PEM证书，再由后端解析subjectAltName等扩展字段。
SSLUserName 本身不导出证书扩展字段，它只负责把一个固定值或预定义变量（如 SSL_CLIENT_S_DN_CN）绑定为 REMOTE_USER 环境变量。想让扩展字段（比如 subjectAltName、extension:1.2.3.4.5）出现在 Apache 环境变量中，靠 SSLUserName 是做不到的。
真正能透传扩展字段的方式是 ExportCertData
Apache 不解析客户端证书的扩展字段并映射为独立环境变量。但你可以拿到完整证书 PEM 内容，由后端自行解析：
- 在 VirtualHost 中启用
SSLOptions +StdEnvVars +ExportCertData - 必须配合
SSLVerifyClient require和有效的SSLCACertificateFile - 启用后，客户端证书原始 PEM 文本会写入环境变量
SSL_CLIENT_CERT - PHP 可用
$_SERVER['SSL_CLIENT_CERT']，Python CGI 可读os.environ.get('SSL_CLIENT_CERT')
为什么 SSLUserName 不能用于扩展字段
SSLUserName 指令设计上只接受两类值：
- 纯字符串（如
SSLUserName "fixed-user"） - 有限的预定义变量（仅限 DN 字段：如
SSL_CLIENT_S_DN_CN、SSL_CLIENT_S_DN_Email、SSL_CLIENT_S_DN_UID） - 它不支持正则提取、子串截取、OID 路径访问（如
extension:subjectAltName） - 也不支持 OpenSSL 的
-text -noout解析结果
如果真需要扩展字段，后端怎么做
拿到 SSL_CLIENT_CERT 后，可用标准工具解析：
- PHP：用
openssl_x509_parse()函数，返回数组含extensions键（部分版本支持） - Python：用
cryptography.x509.load_pem_x509_certificate()，再调用cert.extensions.get_extension_for_oid() - Bash/CLI：临时写入文件后执行
openssl x509 -in cert.pem -text -noout | grep -A1 'Subject Alternative Name'
注意几个关键前提
即使配置了 +ExportCertData，以下任一缺失都会导致 SSL_CLIENT_CERT 为空：
- 客户端未实际发送证书（浏览器需手动选择，curl 需加
--cert参数） - CA 证书链不完整，服务端校验失败 → 整个握手被拒，变量不会生成
- Apache 版本低于 2.4.8（
+ExportCertData在 2.4.7+ 引入，但稳定推荐 2.4.8+） - PHP 运行在 php-fpm 模式下，需在 pool 配置中显式添加
env[SSL_CLIENT_CERT] = $ENV[SSL_CLIENT_CERT]
