sslengine 指令仅在 virtualhost 或全局配置中生效，不能用于 .htaccess 或目录上下文；需配合 listen 443 和端口绑定实现多站点 https/http 分离，如 :80 站点不启用，:443 站点设 sslengine on 并配证书。
sslengine 指令本身不支持“灵活切换”——它在每个虚拟主机中是静态开关，但通过合理组织多个 <virtualhost></virtualhost> 块，就能实现不同站点独立启用或禁用 https 加密。
明确作用域：只在 VirtualHost 或全局生效
SSLEngine 是 mod_ssl 模块的指令，只能出现在以下两个位置：
-
服务器全局配置中（如
/etc/apache2/mods-available/ssl.conf），影响所有后续未显式覆盖的虚拟主机 -
单个
块内 （最常用且推荐），仅控制该站点的 SSL/TLS 处理能力
它不能写在 <directory></directory>、<location></location> 或 .htaccess 中——那些上下文里写 SSLEngine 会被 Apache 忽略或报错。
为不同域名分别配置 HTTPS 和 HTTP 站点
关键不是“切换”，而是为每个站点定义独立的监听端口和协议行为。例如：
- HTTP 站点监听
*:80，不加载 SSL 配置，也不写SSLEngine - HTTPS 站点监听
*:443，必须包含SSLEngine on及证书路径
示例配置片段：
<virtualhost>
ServerName blog.example.com
DocumentRoot /var/www/blog
# 不启用 SSL，无需 SSLEngine 指令
</virtualhost><p><virtualhost>
ServerName shop.example.com
DocumentRoot /var/www/shop
SSLEngine on
SSLCertificateFile /etc/ssl/certs/shop.crt
SSLCertificateKeyFile /etc/ssl/private/shop.key
</virtualhost></p>这样，blog.example.com 走纯 HTTP，shop.example.com 强制走 HTTPS，彼此互不影响。
注意端口与 IP 绑定的硬性前提
Apache 不会自动把 SSLEngine on 和某个端口关联起来。你必须确保：
- 主配置中已存在
Listen 443（否则即使写了SSLEngine on，Apache 启动时也不会监听 HTTPS 端口） - 每个启用 SSL 的
<virtualhost></virtualhost>明确绑定到*:443或192.168.1.100:443这类地址+端口组合 - 不能在同一
IP:Port上对两个虚拟主机分别设SSLEngine on和off——这在技术上不可行；SNI 支持的是多个on站点共用 443 端口，不是混合开关
避免常见误操作
实际部署中最容易出错的几类情况：
-
漏写 Listen 443：配置了
SSLEngine on却没监听 443 端口，导致 HTTPS 请求根本无法到达 -
证书路径错误或权限不足：即使
SSLEngine on，Apache 启动失败或连接被重置，需检查日志（如/var/log/apache2/error.log） -
混淆 Java 的 SSLEngine 类：Apache 配置文件里写
javax.net.ssl.SSLEngine是无效的，那是 Java 编程用的 API - 试图在 .htaccess 里控制加密：SSLEngine 不支持目录级作用域，这类写法不会生效
