sslstrictsnivhostcheck on用于强化sni路由策略，防止sni不匹配时错误落入默认https站点；它不防御tls降级或证书校验问题，需配合sslprotocol、sslciphersuite等配置构成完整防护。
SSLStrictSNIVHostCheck 本身不用于防御“降级攻击”（如 TLS 版本降级、ALPN 协商降级等），它只控制 SNI 匹配失败时是否拒绝连接，属于 SNI 路由策略强化手段。所谓“防御降级”，常被误用——实际它防的是 错误或恶意 SNI 请求落入默认 HTTPS 站点，避免因配置宽松导致敏感站点被意外暴露或混淆路由。
它真正解决的问题：SNI 不匹配的路由泄露
当多个 HTTPS 站点共用一个 IP 时，Apache 默认行为是：若客户端发送了 SNI（如 api.example.com）但无对应 VirtualHost，则 fallback 到第一个加载的 HTTPS VirtualHost——这可能是一个管理后台、测试站或证书不匹配的兜底站。
开启后，只要 SNI 域名找不到完全匹配的 ServerName 或 ServerAlias，Apache 就在 TLS 握手阶段直接终止连接，不进入 HTTP 层，从而阻断这种“错配访问”。
- 它不阻止 TLS 版本降级（需靠
SSLProtocol all -SSLv2 -SSLv3 -TLSv1 -TLSv1.1） - 它不校验证书有效性（如域名不符、过期、吊销），那是浏览器或客户端责任
- 它对无 SNI 的老客户端（如 IE6/XP、Android 4.0 以下）完全无影响——这些请求仍走默认 VirtualHost
正确启用位置与写法
该指令必须出现在启用 SSL 的上下文中，否则报错 SSLSNIVHostCheck not allowed here。
- ✅ 推荐方式：在每个 HTTPS
<virtualhost></virtualhost>块内显式设置SSLEngine on<br>SSLCertificateFile /path/to/cert.pem<br>SSLStrictSNIVHostCheck on
- ✅ 全局启用（仅限 Apache ≥2.4.10）：
在<ifmodule ssl_module></ifmodule>块中设置：SSLStrictSNIVHostCheck on - ❌ 错误位置：
— 写在httpd.conf顶层（无模块包裹）
— 放入.htaccess（mod_ssl 不支持运行时重载）
— 出现在纯 HTTP（非 SSL）VirtualHost 中
配合其他配置才能形成完整防护
单开 SSLStrictSNIVHostCheck on 并不能构成“降级防御体系”，需同步收紧其他 TLS 行为：
-
SSLInsecureRenegotiation off：禁用不安全重协商（CVE-2009-3555），Apache 2.2.15+ 默认已关 -
SSLProtocol all -SSLv2 -SSLv3 -TLSv1 -TLSv1.1：强制 TLSv1.2+，防协议降级 -
SSLCipherSuite限定强密钥交换与认证算法（如排除RC4、NULL、EXPORT） - 确保每个 HTTPS VirtualHost 都有明确且大小写一致的
ServerName，通配符不生效
验证是否生效的方法
用 OpenSSL 手动模拟不同场景：
- 正常 SNI 请求：
openssl s_client -connect example.com:443 -servername example.com
应返回有效证书和握手成功 - 错误 SNI 请求（触发拦截）：
openssl s_client -connect example.com:443 -servername wrong.example.com
若配置生效，会立即断连，或返回no peer certificate available - 无 SNI 请求（不触发拦截）：
openssl s_client -connect example.com:443
仍应能完成握手（连到默认站），这是设计如此
