Apache mod_ssl不解析证书扩展字段，仅提供DN字段和SSL_CLIENT_CERT原始PEM；需用OpenSSL命令查看扩展，或由后端解析SSL_CLIENT_CERT提取subjectAltName等。
直接在 Apache 配置中查看或验证证书扩展字段（如 Subject Alternative Name、Key Usage、Extended Key Usage 等）是做不到的。Apache 的 mod_ssl 不解析也不暴露证书扩展为独立环境变量，它只提供基础 DN 字段（如 CN、O、OU）和原始 PEM 内容。
用 OpenSSL 命令行查看本地证书扩展
这是最常用、最可靠的方式，适用于服务器证书、CA 证书或客户端证书文件（.crt/.pem/.cer）：
-
基本扩展信息：
openssl x509 -in your-cert.crt -noout -text输出中会列出所有标准扩展，重点关注 Subject Alternative Name、Authority Information Access（含 OCSP 和 CA Issuers URI）、Basic Constraints、Key Usage 和 Extended Key Usage -
单独提取 SAN：
openssl x509 -in your-cert.crt -noout -ext subjectAltName -
检查是否含 OCSP 支持（对 OCSP Stapling 很关键）：
openssl x509 -in your-cert.crt -noout -text | grep -A1 "OCSP"若输出为空或 URI 后为空，说明证书链未嵌入 OCSP 地址，SSLUseStapling 将无法工作
在 Apache 运行时获取并解析客户端证书扩展
如果你需要在请求中使用客户端证书的扩展字段（比如用 subjectAltName 中的 email 或 URI 做鉴权），Apache 本身不直接提供，但可通过以下组合实现：
Apache Superset Dashboard and SQL Exploration Skill
下载
Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。
- 启用
SSLOptions +StdEnvVars +ExportCertData（Apache ≥ 2.4.8） - 确保已配置
SSLVerifyClient require和有效的SSLCACertificateFile - 客户端证书成功校验后，完整 PEM 内容会写入环境变量
SSL_CLIENT_CERT - 后端（PHP/Python/Node.js 等）读取该变量，用对应语言的证书库解析扩展字段
▶ PHP：
openssl_x509_parse($_SERVER['SSL_CLIENT_CERT'], true)（部分版本支持 extensions） ▶ Python：cryptography.x509.load_pem_x509_certificate(pem_bytes).extensions.get_extension_for_oid(...)
验证证书链与扩展兼容性（部署前必做）
很多 HTTPS 问题其实源于扩展字段缺失或冲突，不是配置写错：
- 中间证书必须含 AIA 扩展：它告诉浏览器/客户端去哪里查 OCSP 或下载上级 CA，否则 OCSP Stapling 失败、证书链可能被某些客户端拒绝
- 服务端证书若含 SAN，且用于多域名，务必确认所有目标域名都在 SAN 列表中 —— 浏览器只认 SAN，忽略 CN（除非无 SAN）
-
自签名或私有 CA 证书若用于客户端认证，需确保其扩展允许客户端认证（即 Extended Key Usage 含
clientAuth）
调试 Apache 是否收到有效客户端证书
避免“以为配置了，其实没生效”：
- 访问时浏览器弹出证书选择框 → 表明 Apache 已发送证书请求（
SSLVerifyClient require生效） - 返回 403 或空白页 → 检查
SSLCACertificateFile是否包含签发该客户端证书的根 CA（包括中间证书） - 后端收不到
SSL_CLIENT_CERT→ 确认是否漏掉+ExportCertData，或 PHP-FPM 未透传该变量（需在 pool 配置中加env[SSL_CLIENT_CERT] = $ENV[SSL_CLIENT_CERT]）
