不能真正共用同一证书文件支持多域名https，因tls握手早于http请求，必须依赖sni按域名加载匹配证书；仅当证书为含所有域名的san证书时，多个virtualhost引用同一证书文件才合法有效。
不能在 httpd.conf 中让多个域名“共用同一个 SSL 证书”来实现正确的 HTTPS 多域名支持——这不是配置问题，而是 TLS 协议和 Apache 的工作逻辑决定的。
为什么不能真正“共用”一个证书？
SSL/TLS 握手发生在 HTTP 请求之前，服务器必须在收到 Host 头前就选定证书。Apache 依赖 SNI（Server Name Indication）技术，在 TLS 握手初期根据客户端明文发送的域名，加载对应证书。这意味着：
- 每个
<virtualhost></virtualhost>必须显式指定自己的SSLCertificateFile和SSLCertificateKeyFile - 若多个
VirtualHost指向同一组证书文件（比如都写SSLCertificateFile "/path/to/common.crt"），它们确实能启动，但浏览器访问时会因证书 Subject 或 SAN（Subject Alternative Name）不匹配而报错（如 NET::ERR_CERT_COMMON_NAME_INVALID） - 只有当该证书本身是 多域名证书（SAN 证书） 或 通配符证书，且覆盖所有要绑定的域名时，“物理上共用一个文件”才安全有效
正确做法：用一张 SAN 证书覆盖多个域名
如果你的目标是减少证书管理数量，应申请或生成一张包含多个域名的证书，例如：
- 证书的 SAN 字段包含：
example.com,www.example.com,api.example.com,blog.other-site.com - 生成 CSR 时需明确指定所有域名：
openssl req -new -key example.key -out example.csr -subj "/CN=example.com" -reqexts SAN -config - Let’s Encrypt 支持一键签发多域名证书：
certbot certonly --standalone -d example.com -d www.example.com -d api.example.com
配置示例：单张 SAN 证书服务多个域名
假设你已有一张覆盖 site-a.com、www.site-a.com、site-b.com 的证书（fullchain.pem + privkey.pem），可这样写两个虚拟主机：
Apache Superset Dashboard and SQL Exploration Skill
下载
Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。
<virtualhost>
ServerName site-a.com
DocumentRoot "/var/www/site-a"
SSLEngine on
SSLCertificateFile "/etc/letsencrypt/live/multi-domain/fullchain.pem"
SSLCertificateKeyFile "/etc/letsencrypt/live/multi-domain/privkey.pem"
</virtualhost><virtualhost>
ServerName site-b.com
DocumentRoot "/var/www/site-b"
SSLEngine on
SSLCertificateFile "/etc/letsencrypt/live/multi-domain/fullchain.pem"
SSLCertificateKeyFile "/etc/letsencrypt/live/multi-domain/privkey.pem"
</virtualhost>
✅ 这是合法且常见的做法：多个 VirtualHost 引用同一组证书文件，前提是证书本身信任所有域名。
常见误区与风险
以下操作看似“省事”，实则不可取：
- 把不同域名的证书文件硬链接或复制到同一路径再共用——仍需确保每个域名都在证书 SAN 中，否则浏览器拒绝信任
- 在全局配置（如
httpd.conf根层级）设置SSLCertificateFile——Apache 2.4+ 不支持，会被忽略或导致第一个虚拟主机以外的站点加载失败 - 用自签名根证书签发多个域名证书但未将根证书导入客户端——仅限内网测试，公网无效
真正决定是否“能共用”的，不是 Apache 配置方式，而是证书内容本身是否涵盖全部目标域名。
