apache不支持通过sslciphersuite配置双算法证书，该指令仅控制tls握手时加密套件的协商顺序，无法让服务器同时发送rsa和ecdsa两个叶证书；它只依据sslcertificatefile指定的单个pem文件中的首个证书提供服务。
Apache 本身不支持通过 SSLCipherSuite 配置“双算法证书”——这个指令只控制 TLS 握手时**加密套件（cipher suite）的协商顺序**，比如选 ECDHE-ECDSA-AES256-GCM-SHA384 还是 ECDHE-RSA-AES256-GCM-SHA384，但它**不决定服务器发哪个叶证书**，也无法让 Apache 同时发送 RSA 和 ECDSA 两个证书。
SSLCipherSuite 的真实作用
它告诉 Apache：“当客户端列出它支持的签名算法（如 ecdsa_secp256r1、rsa_pss_rsae_sha256）时，请优先匹配我配置列表里靠前的、双方都支持的那一个套件”。例如：
-
SSLCipherSuite ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384→ 客户端若支持 ECDSA 签名，就倾向用 ECDSA 证书完成握手；否则回落到 RSA 套件 - 但前提是：服务器**必须已加载对应算法的证书和私钥**，且能按需提供
而 Apache 2.4.x 的 mod_ssl 不具备按 signature_algorithms 动态切换叶证书的能力。它只认 SSLCertificateFile 指定的那一个 PEM 文件里的第一个证书。
现代浏览器中实现“双算法”体验的可行路径
要让 Chrome/Firefox/Safari（以及 Java 11+ HttpClient）在访问同一域名时，自动优选 ECDSA（新设备）或回退 RSA（旧系统），不能只调 SSLCipherSuite，得配合底层证书部署方式：
-
推荐方案：SNI 分离 + 同一主域名 DNS 轮询或 ALPN 引导
部署
ecdsa.example.com（配 secp256r1 证书+密钥）和rsa.example.com（配 3072 位 RSA 证书+密钥），前端用 JavaScript 或 HTTP 重定向引导兼容性探测，再跳转至最优子域 -
升级替代：换用 Nginx 1.19.4+ 或 Envoy
Nginx 支持
ssl_certificate多实例语法（如ssl_certificate /path/ec.crt; ssl_certificate_key /path/ec.key;与ssl_certificate /path/rsa.crt; ssl_certificate_key /path/rsa.key;并存），可真正按 ClientHello 中的signature_algorithms自动选证 -
TLS 1.3 注意事项
即使启用 TLS 1.3，Apache 当前仍无法利用其 Certificate 消息多证书特性。OpenSSL 底层虽支持，但
mod_ssl未暴露接口供用户绑定多个证书链
SSLCipherSuite 实用配置建议（配合单算法证书）
若你已选定主用 ECDSA（推荐），可这样设，兼顾安全与兼容：
-
SSLProtocol all -SSLv3 -TLSv1 -TLSv1.1（强制 TLS 1.2+） -
SSLCipherSuite ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-AES256-GCM-SHA384→ 把 ECDSA 套件放最前，RSA 作为 fallback；排除 CBC、SHA1、RC4 等弱套件 -
SSLHonorCipherOrder on（确保服务端优先级生效）
注意：该配置不会“启用双证书”，但它能让支持 ECDSA 的现代浏览器更大概率走 ECDSA 握手路径——前提是你已为该虚拟主机正确部署了 ECDSA 证书和密钥。
验证是否生效的小技巧
用 OpenSSL 测试不同签名算法偏好：
- 模拟只支持 RSA 的旧客户端：
openssl s_client -connect example.com:443 -sigalgs rsa_pss_rsae_sha256 - 模拟支持 ECDSA 的新客户端：
openssl s_client -connect example.com:443 -sigalgs ecdsa_secp256r1_sha256 - 观察输出中的
Server certificate公钥类型（ECDSA或RSA），确认是否与预期一致
不复杂但容易忽略：证书算法和 cipher suite 必须对齐，否则即使套件排第一，也会因证书不匹配而降级或失败。
