SSLProxyCheckPeerCN已失效，应改用SSLProxyCheckPeerName on配合SSLProxyVerify require和SSLProxyCACertificateFile实现基于SAN的后端域名验证。
SSLProxyCheckPeerCN 不能用于强制验证后端域名真实性，它早已失效且不再可用。
该指令在 Apache 2.4.8 中被标记为废弃，2.4.26 及更高版本中已被彻底移除。如果你在配置中写入 SSLProxyCheckPeerCN on，Apache 启动时会直接报错：
Invalid command 'SSLProxyCheckPeerCN', perhaps misspelled or defined by a module not included in the server configuration
根本原因在于：仅校验证书的 CN（Common Name）字段既不安全也不符合现代 TLS 实践。RFC 6125 明确要求以 Subject Alternative Name（SAN）为主进行主机名验证，而 CN 字段在多数现代证书中已不具权威性（尤其在通配符、多域名场景下完全不可靠）。
✅ 正确做法：用 SSLProxyCheckPeerName on 替代
这才是当前唯一有效、标准且安全的后端域名校验机制。
你需要组合以下三项配置，缺一不可：
SSLProxyEngine on
启用 Apache 作为 HTTPS 客户端连接后端的能力。SSLProxyCheckPeerName on
强制校验后端证书中的 SAN（或回退到 CN，但仅当无 SAN 时；实际应确保证书含正确 SAN）。SSLProxyVerify require
确保证书链可信、未过期、未被吊销——这是域名匹配的前提。
同时必须满足：
⚠️ 已弃用 — 该技能已拆分为两个独立技能，以提升模块化程度：**webchat-https-proxy**（HTTPS/WSS 反向代理）和 **webchat-voi...**
后端服务器证书的 SAN 字段中，至少包含一个与
ProxyPass目标域名完全一致的 DNS 条目
例如：ProxyPass /api https://svc.internal/→ 证书必须含DNS:svc.internal，仅CN=svc.internal不生效。若后端使用私有 CA 或自签名证书，需显式加载其根证书：
SSLProxyCACertificateFile /etc/ssl/certs/internal-ca.pem
❌ 常见错误配置（务必避免）
- 单独写
SSLProxyCheckPeerName on，却漏掉SSLProxyVerify require→ 域名可能匹配，但证书本身无效（如过期、自签名未信任）仍被接受。 - 把
SSLProxyCACertificateFile指向自己的服务端证书或密钥文件 → 校验失败，报SSL handshake failed。 - 后端时间偏差超 ±5 分钟 →
SSLProxyCheckPeerExpire on（默认启用）会拒绝连接，日志只显示模糊错误。 - 使用
SSLProxyCheckPeerCN off并以为它“关闭了 CN 校验所以更安全” → 实际上它只是个历史残留开关，对当前校验逻辑无影响。
? 快速验证是否生效
用 openssl s_client 模拟 Apache 握手行为：
openssl s_client -connect svc.internal:443 -CAfile /etc/ssl/certs/internal-ca.pem
检查输出中：
-
Verify return code: 0 (ok) -
subjectAltName: DNS:svc.internal是否存在
若失败，说明后端证书本身就不合规，Apache 配置再正确也无济于事。
不复杂但容易忽略。
