SSL证书不匹配警告源于证书SAN未覆盖访问域名，需检查SAN字段是否包含实际访问的完整域名、ServerName与ServerAlias配置一致性、证书路径及私钥配对，并排除DNS或hosts文件解析错误。

域名不匹配不是配置写错了，而是证书和访问地址对不上——浏览器比对的是证书里的 Subject Alternative Name（SAN） 字段，不是 ServerName 或 URL 路径。

确认证书是否真包含你访问的域名

打开浏览器访问 https://yourdomain.com → 点地址栏锁图标 → “连接是安全的” → “证书有效” → 查看 “颁发给” 下的 “DNS 名称”。这里必须明确列出你正在访问的完整域名，比如：

• ✅ 正确：example.com 和 www.example.com 都在 SAN 列表里
• ❌ 错误：只写了 www.example.com，但你用 example.com 访问；或用了 IP 地址访问，但证书里没加该 IP

用命令快速验证：
openssl x509 -in /path/to/fullchain.pem -text -noout | grep -A1 "Subject Alternative Name"

重签证书时必须填全所有要支持的域名

无论是 Let’s Encrypt 还是商业证书，申请时就要一次性指定全部域名。例如用 Certbot：

Apache Superset Dashboard and SQL Exploration Skill

Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。

下载

• certbot certonly --apache -d example.com -d www.example.com -d shop.example.com
• 不能先只申请 example.com，再补一个 www.example.com —— 每次签发都是新证书，旧证书不会自动更新 SAN

自签名测试证书也一样：
openssl req -new -key private.key -subj "/CN=example.com" -addext "subjectAltName=DNS:example.com,DNS:www.example.com"

检查 Apache 配置中有没有漏掉 ServerAlias

证书没问题，但 Apache 没把请求路由到正确虚拟主机，也会表现为“域名不匹配”（实际是返回了别的站点的证书）。确保：

• 每个 <VirtualHost *:443> 块内，ServerName 写主域名，ServerAlias 补全别名
• 例如：ServerName api.example.com + ServerAlias www.api.example.com
• 避免用通配符泛域名（如 *.example.com）覆盖所有子域，除非你真打算共用同一张证书

排除 DNS 和 hosts 干扰

本地开发常因 hosts 文件写错导致“看着像不匹配”：

• 检查 /etc/hosts（Linux/macOS）或 C:\Windows\System32\drivers\etc\hosts（Windows）
• 确认条目是 127.0.0.1 test.example.com，而不是 127.0.0.1 example.com 或拼写错误
• 执行 ping test.example.com 看解析是否指向预期 IP