apache证书链不完整是手机端“证书不受信任”的主因，需将域名证书与中间证书按序合并为单个pem文件（域名证书在前、中间证书在后、根证书不包含），并在sslcertificatefile中指向该文件，同时禁用旧tls协议与弱加密套件。

手机端浏览器（尤其是 iOS Safari 和 Android Chrome）提示“证书不受信任”，绝大多数情况不是证书本身无效，而是 Apache 服务端配置没把信任链铺完整、或用了不被移动系统默认信任的签发方式。核心问题就两个：证书链缺失、CA 不被移动端预置信任。

补全中间证书链（最常见原因）

手机系统比电脑更严格校验证书链。只部署站点证书（your_domain.crt），没附带中间证书，Safari 就会中断验证并报错。

• 用 SSL Labs SSL Test 输入你的域名，看 “Certificate Chain” 是否显示 Incomplete
• 从证书颁发商处下载完整的中间证书包（例如 Let’s Encrypt 提供 ISRG Root X1 + R3 链）
• 把中间证书内容追加到你的站点证书文件末尾（顺序必须是：站点证书 → 中间证书 → 根证书不放）
• Apache 配置中确保只用一个 SSLCertificateFile 指向这个合并后的 PEM 文件

确认使用公共可信 CA 签发的证书

自签名证书、内网私有 CA 或已停用的老根（如 Symantec 旧根）在 iOS/Android 上默认不被信任，手动导入根证书对普通用户不可行。

Apache Superset Dashboard and SQL Exploration Skill

Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。

下载

• 生产环境务必使用 Let’s Encrypt、Sectigo、DigiCert 等主流 CA 的证书
• Let’s Encrypt 免费且兼容性极佳，配合 Certbot 可全自动部署：sudo certbot --apache -d yourdomain.com
• 避免使用已淘汰的交叉签名链（如 DST Root CA X3 已于 2024 年 9 月过期）

检查 Apache 的 SSL 协议与加密套件

iOS ATS（App Transport Security）和新版 Android 要求最低 TLS 1.2，禁用弱算法。Apache 若仍启用 TLS 1.1 或含 RC4/3DES 套件，部分手机会直接拒绝连接。

• 在 ssl.conf 或虚拟主机配置中添加：

SSLProtocol all -SSLv3 -TLSv1 -TLSv1.1
SSLCipherSuite ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256
SSLHonorCipherOrder on

• 重启 Apache：sudo systemctl restart apache2（Ubuntu/Debian）或 sudo systemctl restart httpd（CentOS/RHEL）

验证域名匹配与系统时间

手机端时间不准或证书主体名（CN/SAN）不匹配也会触发“不受信任”提示，但错误描述通常更具体（如 “Invalid certificate for this domain” 或 “Certificate expired”）。

• 打开手机设置 → 日期与时间 → 开启“自动设置”（NTP 同步）
• 确认证书的 Subject Alternative Names（SAN）包含你实际访问的域名（比如同时覆盖 www.example.com 和 example.com）
• 不要用 IP 地址或 localhost 直接配 HTTPS 生产环境；手机浏览器不信任这类证书