Apache不支持多域名共享单证书时的SNI匹配冲突，本质是SNI依赖每个<VirtualHost>独立配置专属证书及ServerName/SAN严格对齐；共用证书会导致浏览器证书错误或路由错配，正确做法是统一用含全部域名的SAN证书配单个虚拟主机并设全ServerAlias。
apache 不支持“多域名共享单证书”时的 sni 匹配冲突处理——这不是 apache 的设计目标，也不是 sni 的工作方式。sni 的本质是让服务器根据客户端声明的域名，从多个独立证书中选择一个匹配项；它不解决“一个证书服务多个域名”的路由问题，而是要求每个域名对应一个明确配置的虚拟主机和专属证书上下文。
为什么“共享单证书”本身就会触发 SNI 冲突
当多个 <VirtualHost *:443> 块共用同一组 SSLCertificateFile 和 SSLCertificateKeyFile 时，Apache 无法区分哪个域名该用哪份证书，因为 SNI 匹配逻辑依赖的是虚拟主机的 ServerName/ServerAlias 与证书 SAN 的双重对齐。若证书只覆盖 site-a.com，但被同时用于 site-b.com 的虚拟主机，浏览器会直接报 ERR_CERT_COMMON_NAME_INVALID，哪怕 SNI 正确传递了 site-b.com。
- 证书 SAN 字段未包含访问域名 → 浏览器拒绝信任，与 SNI 是否生效无关
- 多个虚拟主机指向同一证书文件 → Apache 加载时无报错，但 TLS 握手后证书内容与请求域名不一致
- Apache 不会“自动映射”证书里的多个域名到不同虚拟主机；它只按配置顺序匹配
ServerName，再加载该块内指定的证书
正确做法：一个域名（或一组同属域名）配一张证书，且证书 SAN 必须全覆盖
真正可行的“多域名共用证书”，是指把所有要托管的域名都写进同一张证书的 Subject Alternative Name (SAN) 字段，然后将这张证书分配给一个虚拟主机块（或多个块，但需确保 ServerName/ServerAlias 完全覆盖这些域名）。
Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。
- 例如：证书含
DNS:example.com,DNS:www.example.com,DNS:api.example.com→ 可用于一个<VirtualHost>块，配合ServerName example.com+ServerAlias www.example.com api.example.com - 若要用同一张证书服务
example.com和another.net，必须在签发时明确加入两个独立域名（非通配符），否则违反证书策略，主流 CA 拒绝签发 - Let’s Encrypt 支持最多 100 个域名打包进一张证书，命令示例：
certbot certonly --standalone -d example.com -d www.example.com -d shop.example.com -d another.net
如果硬要“多域名复用同一证书文件”，必须规避 SNI 路由歧义
仅当所有域名语义上属于同一站点（如主站+子站+备用域名），且你接受它们全部由同一个 <VirtualHost *:443> 块响应时，才可共用证书。此时关键不是“SNI 匹配”，而是“避免多个虚拟主机争抢同一证书”：
- 删除其他
<VirtualHost *:443>块，只保留一个，用ServerName+ 多个ServerAlias涵盖全部域名 - 确认该块内
SSLCertificateFile指向的证书，其 SAN 列表确实包含所有ServerAlias域名 - 运行
apachectl -t -D DUMP_VHOSTS验证只有一个 HTTPS 虚拟主机生效，无隐式默认主机兜底 - 禁用
SSLStrictSNIVHostCheck on（默认 off，无需显式设；设为 on 会导致无 SNI 请求直接 403）
排查时重点看日志里是否真有 SNI 路由行为
打开 error_log，搜索以下线索，判断 Apache 是否真的在做 SNI 匹配：
-
client sent server name: example.com→ 客户端发了 SNI，值正确 -
unable to find named virtual host→ SNI 域名没在任何ServerName/ServerAlias中出现 -
no SSL certificate for host: example.com→ 找到了虚拟主机，但该块没配SSLCertificateFile - 没有上述日志，但返回了错误证书 → 很可能多个
<VirtualHost *:443>共享了证书路径，Apache 按加载顺序用了第一个块的配置
