当ssl证书未包含主域名（如 domain2.com）而仅覆盖 www 子域名时，移动端浏览器会在建立http连接前直接拦截并显示“不安全”警告，此时 .htaccess 重写规则根本无法执行——因为请求尚未抵达服务器。根本解法是确保证书 san（主题备用名称）完整覆盖所有访问入口。
当ssl证书未包含主域名（如 domain2.com）而仅覆盖 www 子域名时，移动端浏览器会在建立http连接前直接拦截并显示“不安全”警告，此时 .htaccess 重写规则根本无法执行——因为请求尚未抵达服务器。根本解法是确保证书 san（主题备用名称）完整覆盖所有访问入口。
这个问题的本质并非配置逻辑错误，而是 HTTPS 协议的安全机制与浏览器实现细节共同作用的结果。
? 为什么重定向在移动端“失效”？
现代浏览器（尤其是 iOS Safari、Android Chrome）在发起 HTTPS 请求前，会先验证证书有效性。若用户直接输入 https://domain2.com，而证书的 SAN 列表中未包含 domain2.com（仅有 www.domain2.com），浏览器会立即终止连接，并弹出全屏红色警告（如 “Your connection is not private”），完全不向服务器发送任何 HTTP 请求。这意味着：
- Apache 的 mod_rewrite 模块根本不会被触发；
- .htaccess 中的 RewriteCond 和 RewriteRule 形同虚设；
- 无论重定向逻辑多么完善，它都运行在“证书校验通过之后”，而此处连第一步都未通过。
✅ 正确理解：这不是“重定向没生效”，而是“重定向根本没有机会生效”。
✅ 正确解决方案：从证书层修复
必须让 SSL 证书原生支持 domain2.com，而非依赖服务端跳转。推荐以下两种合规方式：
方案一：使用多域名（SAN）证书（推荐）
申请或更新 SSL 证书时，在 Subject Alternative Names (SAN) 字段中同时添加：
domain2.com www.domain2.com
✅ 优势：单证书覆盖双入口，兼容所有客户端（含移动端），无跳转延迟，SEO 友好。
⚠️ 注意：免费证书（如 Let's Encrypt）默认支持 SAN，可通过 certbot 命令一次性指定多个域名：
certbot certonly --apache -d domain2.com -d www.domain2.com
方案二：升级为通配符证书（适用于多子域名场景）
若未来还需支持 api.domain2.com、shop.domain2.com 等，可选用 *.domain2.com 通配符证书。
❗ 重要提醒：通配符 *.domain2.com 不自动包含根域名 domain2.com！必须显式将其加入 SAN（主流 CA 均支持此组合）。
⚠️ 补充注意事项
不要依赖“先跳 HTTP 再跳 HTTPS”：
若尝试用 http://domain2.com → https://www.domain2.com 的两步跳转，会暴露用户于中间人攻击风险，且违反 HTTPS 强制策略（HSTS 预加载列表等），现代浏览器已逐步限制此类降级行为。-
检查证书实际覆盖范围：
使用 SSL Labs Server Test 或命令行验证：openssl s_client -connect domain2.com:443 -servername domain2.com 2>/dev/null | openssl x509 -noout -text | grep -A1 "Subject Alternative Name"
确保输出中明确包含 DNS:domain2.com。
CDN/WAF 节点需同步部署证书：
若流量经过 CDN（如 Cloudflare、阿里云 CDN）或 WAF，必须在对应平台单独上传并启用含 domain2.com 的证书——证书仅部署在源站是不够的。
? 总结
| 问题现象 | 根本原因 | 正确解法 |
|---|---|---|
| 移动端访问 domain2.com 直接报证书错误，.htaccess 重定向不生效 | 浏览器在 TLS 握手阶段即拒绝未匹配域名的证书，请求未抵达 Apache | 更新 SSL 证书，确保 SAN 同时包含 domain2.com 和 www.domain2.com |
修复证书后，再辅以规范的 .htaccess 强制跳转（用于 HTTP 流量兜底），即可实现全设备、全链路的安全访问：
# 完整安全跳转示例（HTTPS + WWW 统一）
RewriteEngine On
# 1. HTTP → HTTPS
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [R=301,L]
# 2. Non-WWW → WWW（仅对 HTTPS 生效，避免循环）
RewriteCond %{HTTPS} on
RewriteCond %{HTTP_HOST} !^www\. [NC]
RewriteRule ^(.*)$ https://www.%{HTTP_HOST}%{REQUEST_URI} [R=301,L]
安全不是靠“跳转补救”，而是始于一张精准匹配的证书。
