SNI本身不决定证书类型，仅在TLS握手初期传递目标域名供服务器选择对应SSL上下文；真正起作用的是证书的Subject Alternative Name（SAN）字段是否覆盖该域名，或是否为匹配的通配符证书（如*.example.com仅支持www.example.com、api.example.com，不支持example.com或a.b.example.com）。
理解 SNI 与证书类型的关系
sni（server name indication）本身不决定证书是否支持通配符或独立域名，它只是让客户端在 tls 握手初期告诉服务器“我要访问哪个域名”，服务器再据此选择对应配置的 ssl 上下文。真正起作用的是：每个 <virtualhost></virtualhost> 块中加载的证书内容——即该证书的 subject alternative name（san）字段是否覆盖请求的域名，或是否为匹配的通配符证书。
通配符证书的正确用法
一张 *.example.com 证书只能用于一级子域名，如 www.example.com、api.example.com，但不能用于 example.com（根域名）或 a.b.example.com（二级子域名）。若需同时支持根域和子域，证书必须显式包含两者：
-
Subject Alternative Name中至少列出：DNS:example.com, DNS:*.example.com - 配置时所有使用该证书的
<virtualhost></virtualhost>块可共用同一组SSLCertificateFile和SSLCertificateKeyFile - 无需为每个子域单独写一个虚拟主机，只要
ServerName或ServerAlias匹配 SAN 中的任一域名即可
混合模式：通配符 + 独立域名共存
当部分子域用通配符证书，另一些特殊域名（如 shop.example.org）需用独立证书时，Apache 依靠 SNI 字符串精确匹配 ServerName 来加载对应配置：
Apache Superset Dashboard and SQL Exploration Skill
下载
Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。
- 确保每个 HTTPS 虚拟主机都定义在独立的
<virtualhost></virtualhost>块中 - 每个块内必须完整声明：
SSLEngine on、SSLCertificateFile、SSLCertificateKeyFile、SSLCertificateChainFile -
ServerName必须与所用证书的 SAN 完全一致（例如shop.example.org的证书就不能配在example.com的虚拟主机里） - 避免在全局或父配置中设置任何 SSL 指令，否则会被继承导致错配
验证与排错关键点
即使配置看起来正确，仍可能因细节疏漏导致浏览器报“证书不匹配”：
- 运行
apachectl -t -D DUMP_VHOSTS查看实际生效的虚拟主机顺序和绑定端口 - 用
openssl x509 -in cert.pem -text -noout | grep -A1 "Subject Alternative Name"检查证书 SAN 是否含当前访问域名 - 确认 OpenSSL 版本 ≥ 1.0.2（推荐 ≥ 1.1.1），且已启用
ssl_module（httpd -M | grep ssl） - 确保系统时间准确——证书有效期校验失败也会触发警告
