Apache不支持为同一VirtualHost配置多个证书链，只能通过合并服务器证书与中间证书生成单个full chain文件（如cat 2_域名.crt 1_root_bundle.crt > full_chain.pem）并由SSLCertificateFile指向该文件，SSLCertificateKeyFile单独指定私钥，以兼容旧客户端。
Apache 本身不支持为同一个 SSLCertificateChainFile 或（在较新版本中）通过 SSLCACertificatePath 指向目录，但该路径用于客户端证书验证，而非服务端证书链拼接。所谓“支持不同客户端”，本质是解决旧客户端（如 Windows XP + IE6、Android 4.4 以下、部分嵌入式设备）无法识别现代中间 CA 的问题——这需要的是**兼容性证书链（full chain）**，而不是“多根”。
为什么不能直接配多个 SSLCertificateChainFile
Apache 的 mod_ssl 在 TLS 握手时，只发送一个证书链（由 SSLCertificateFile 指定的服务器证书 + SSLCertificateChainFile 或内联在 SSLCertificateFile 中的完整链）。它没有机制根据 User-Agent 或 TLS Client Hello 动态切换链。尝试重复写 SSLCertificateChainFile 会导致配置加载失败或仅生效最后一个。
常见错误现象：
- 配置中写了两行
SSLCertificateChainFile，httpd -t报错：Syntax error on line X of /etc/httpd/conf.d/ssl.conf: SSLCertificateChainFile takes one argument, SSL Certificate Chain file - 浏览器访问正常，但微信内置浏览器、老版 Android WebView 显示“NET::ERR_CERT_AUTHORITY_INVALID”
正确做法：用单个 full chain 文件覆盖所有信任路径
真正起作用的是把“服务器证书 + 所有必需中间证书 + （可选）根证书”按正确顺序拼成一个文件，让 Apache 一次性发给客户端。客户端会自行遍历链，找到自己信任的根。
实操建议：
- 不要拆分
1_root_bundle.crt和2_域名.crt单独引用；而是把它们合并：cat 2_域名.crt 1_root_bundle.crt > /etc/httpd/conf/ssl/full_chain.pem
-
SSLCertificateFile应指向这个合并后的full_chain.pem，而不是原始的2_域名.crt -
SSLCertificateKeyFile仍单独指向3_域名.key，不可合并私钥 - 验证链完整性：
openssl verify -CAfile 应返回OK
遇到“旧客户端仍不认”的排查重点
即使用了 full chain，仍有客户端报错，大概率不是链的问题，而是：
- 证书本身是 ECDSA 签名，但老客户端只支持 RSA —— 检查
openssl x509 -in 2_域名.crt -text -noout | grep "Signature Algorithm"，若为ecdsa-with-SHA256，需换 RSA 证书 - 服务器协商的 TLS 版本太新（如只支持 TLSv1.3），而客户端只支持 TLSv1.0 —— 在
SSLProtocol all -SSLv2 -SSLv3（保留 TLSv1/TLSv1.1/TLSv1.2） - 证书链里混入了非必要根证书（比如把两个不同 CA 的根都塞进去），反而干扰客户端路径选择 —— 只保留该证书实际签发路径上的中间证书和最终信任根
- Apache 版本过低（httpd -v 确认版本，低于 2.4.8 时多域名 HTTPS 必须用不同 IP 或端口
最常被忽略的一点：证书链文件末尾必须有换行符，且不能有多余空行或 BOM；否则某些 Apache 版本解析失败，静默降级为只发服务器证书，导致链断裂。用 hexdump -C full_chain.pem | tail 确认结尾是 0a（LF）。
