phpEnv Apache配置多站点共用一个SSL证书的实现方法-php教程-PHP中文网

SSL证书可被多个Apache虚拟主机复用，但须满足域名匹配；单域名证书仅限指定域名，通配符证书覆盖二级子域，SAN证书需显式列出所有域名；配置时须为每个VirtualHost单独声明SSLEngine及证书路径，且确保私钥权限（600）和证书链完整。

phpenv apache配置多站点共用一个ssl证书的实现方法

一个SSL证书（尤其是单域名或通配符证书）可以被多个Apache虚拟主机复用，但必须满足域名匹配前提；直接复用配置本身不难，真正容易出问题的是证书链缺失、私钥权限错误、或TLS协议协商失败。

确认证书是否支持多域名

单域名证书（如 www.example.com）只能用于该域名及其显式指定的 ServerAlias；通配符证书（如 *.example.com）可覆盖所有二级子域；多域名证书（SAN证书）则需在 SSLCertificateFile 指向的证书中明确列出所有目标域名。

用命令快速检查：openssl x509 -in /path/to/cert.pem -text -noout | grep -A1 "Subject Alternative Name"
如果输出为空或不包含你要配置的域名，这个证书就不能用于那个站点
自签名或测试证书在浏览器会报 NET::ERR_CERT_COMMON_NAME_INVALID，和配置无关，别白调

Apache里复用同一组SSL指令的正确写法

不能把 SSLEngine on 和证书路径写在全局配置块里——Apache不认。必须每个都单独声明，但路径和参数可以完全一致。

确保所有共用证书的块中，SSLCertificateFile、SSLCertificateKeyFile、SSLCertificateChainFile 三者路径完全相同
推荐把证书文件统一放在 /etc/httpd/ssl/ 或 /usr/local/apache2/conf/ssl/ 这类标准位置，避免相对路径歧义
不要省略 SSLCertificateChainFile：很多免费证书（如阿里云、Let’s Encrypt）需要它，漏掉会导致部分安卓/iOS客户端握手失败

常见失败现象与对应排查点

浏览器打不开HTTPS、提示连接重置、或显示“此网站使用了不受信任的证书”，大概率不是证书本身问题，而是配置层疏漏。

SSL Certificate Monitor

检查一个或多个域名的 SSL/TLS 证书到期时间、颁发者、协议及 SAN 信息，用于应要求检查证书、监控到期或验证 HTTPS 等场景。

下载

启动时报错：SSLCertificateFile: file '/xxx.crt' does not exist or is empty → 检查路径拼写、SELinux上下文（ls -Z）、文件是否真被上传成功
能访问但地址栏没锁图标 → 很可能是页面内混用了HTTP资源（图片、JS），触发混合内容拦截，跟SSL配置无关
curl -I https://domain 报 SSL_ERROR_SYSCALL → 查 error_log，常见是私钥无读权限（chmod 600 必须做）或 Apache 用户（如 apache 或 www-data）无权读取证书目录
多个站点中只有一个能HTTPS访问 → 检查是否所有都有唯一且正确的 ServerName，且没被其他配置覆盖（比如 NameVirtualHost *:443 缺失或重复）

要不要启用 TLS 协议和加密套件的集中管理

可以，但得用包裹后放在主配置或 httpd.conf 顶部，不能放 vhosts-ssl.conf 里——否则只对第一个生效。

推荐写法：

<ifmodule ssl_module>
    SSLProtocol all -SSLv2 -SSLv3 -TLSv1 -TLSv1.1
    SSLCipherSuite ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384
    SSLHonorCipherOrder on
</ifmodule>