排查泛域名匹配冲突核心是确认“谁真正响应请求”：泛域名*.example.com仅匹配一级子域（如api.example.com），不匹配根域或三级子域；需并列声明example.com *.example.com，避免证书错配或路由异常，并用nginx -T和curl --resolve验证实际匹配路径。
排查 server_name 泛域名匹配引发的路由冲突，核心是搞清“谁真正响应了请求”，而不是看配置里写了什么。Nginx 不报错、不警告（除非重复定义），只默默把请求交给它认为最匹配的 server 块——而泛域名（如 *.example.com）容易“吃掉”本该由精确域名处理的流量，比如 api.example.com 被泛域名块接管，导致证书错配、静态资源路径异常或重定向失效。
确认泛域名是否被过度匹配
泛域名 *.example.com 只匹配一级子域（www.example.com、api.example.com），不匹配 example.com 本身，也不匹配 dev.api.example.com。常见误配：
- 只配了 *.example.com，却没加 example.com → 根域请求落到 default_server 或第一个块
- 配了 *.example.com，又单独写了 admin.example.com，但两者在同一个 listen 443 下 → 精确匹配优先，admin 会走自己的块；但如果 admin 块漏了 ssl_certificate，就可能回退失败
- 用了 .example.com（前面带点）→ 这是合法的“前导通配符”，等价于 *.example.com，但容易和 example.com 混淆，建议显式并列写全：example.com *.example.com
检查 server 块是否隔离充分
多个域名共用一份泛域名证书，不代表能塞进同一个 server 块。Nginx 在 TLS 握手阶段靠 SNI 匹配 server_name，若一个块里写 server_name *.example.com api.example.com;，SNI 传 api.example.com 时仍只能用该块绑定的证书——但无法区分不同域名的 root 或 proxy_pass。正确做法是：
- 每个逻辑上独立的域名（尤其是需要不同证书、不同后端、不同 SSL 参数的）应独占一个 server 块
- 泛域名块不要混入精确域名，也不要作为“兜底”去代理所有子域；真要兜底，确保它只负责静态页或 404，且不启用 OCSP Stapling 或 HSTS 等强安全策略
- 监听语句要明确：HTTPS 必须带 ssl，泛域名块不能和精确域名块共用 listen 443 ssl default_server，否则后者会被覆盖
验证实际生效的匹配路径
别依赖文件名或 include 顺序，用真实请求+工具交叉验证：
- 执行 nginx -T 2>/dev/null | grep -A 8 "listen 443 ssl"，列出所有 HTTPS server 块，看是否有重复的 server_name *.example.com 或遗漏的 default_server
- 对目标域名发起 curl：curl -I --resolve api.example.com:443:你的IP https://api.example.com，观察返回的 Server 头、证书 CN/SAN、以及是否发生跳转
- 用 OpenSSL 抓 SNI 和证书：openssl s_client -connect yourIP:443 -servername api.example.com -showcerts 2>/dev/null | openssl x509 -text -noout | grep -A1 "Subject Alternative Name"，确认返回的证书确实包含 DNS:api.example.com，而非仅 DNS:*.example.com
快速定位冲突配置位置
泛域名冲突常藏在被 include 的子配置中。用以下命令直击源头：
- nginx -T 2>/dev/null | awk '/server {/,/}/ {if (/server_name.*\*.example\.com/) print FILENAME; if (/server_name.*api\.example\.com/) print FILENAME}' → 找出哪些文件定义了相关域名
- nginx -t 虽不报泛域名问题，但若出现 conflicting server name "*.example.com" on 0.0.0.0:443, ignored，说明同一端口下有两个块都写了完全相同的泛域名，后加载者失效
- 临时注释掉疑似泛域名块，reload 后测试请求是否切换到预期 server 块，可反向确认归属
