apache sni配置生效但返回兜底证书，本质是请求被默认或靠前的块捕获；需检查dump_vhosts匹配顺序、清除/修正兜底配置、确保各虚拟主机独立完整配置ssl指令及servername/serveralias，并验证证书san与域名严格一致。

apache 开启 sni 后仍出现“兜底证书”（即访问 a 域名却返回 b 域名的证书），本质不是 sni 没开，而是 sni 虽被接收，但路由逻辑没落到目标虚拟主机——请求被默认或靠前的 <virtualhost></virtualhost> 块捕获并返回了它的证书。解决关键在于切断错误兜底路径、确保域名精准匹配、杜绝 ssl 指令泄露。

检查并清除默认/靠前的 HTTPS 虚拟主机

Apache 不按域名查表，而是按配置加载顺序匹配；若第一个 <virtualhost></virtualhost> 没设 ServerName 或只配了 IP，它就会无差别接收所有未明确匹配的 HTTPS 请求，成为静默兜底源。

• 运行 apachectl -t -D DUMP_VHOSTS，查看输出中排在最上方的 *:443 块是谁——它大概率就是兜底者
• 定位该配置文件（常为 00-default-ssl.conf 或 default-ssl.conf），临时注释或删除整个 <virtualhost></virtualhost> 块，重启 Apache 测试
• 如访问恢复正常，说明问题确由该块引发；可保留它，但必须补全 ServerName + ServerAlias，或改用 <virtualhost _default_:443></virtualhost> 并加 Redirect 404 / 主动拒绝未定义域名

确保每个 HTTPS 虚拟主机完整独立配置 SSL

SSL 指令一旦写在全局上下文（如主配置或 <ifmodule ssl_module></ifmodule> 外），会被所有 <virtualhost></virtualhost> 继承，导致 SNI 失效——所有站点共用同一份证书。

Apache Superset Dashboard and SQL Exploration Skill

Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。

下载

• 每个 <virtualhost></virtualhost> 内必须显式包含：SSLEngine on、SSLCertificateFile、SSLCertificateKeyFile、SSLCertificateChainFile（或用 fullchain.pem 合并）
• 严禁在 <virtualhost></virtualhost> 外设置任何 SSLCertificate* 指令，包括 httpd.conf 顶部或 mod_ssl.c 区域
• 用 httpd -M | grep ssl 确认 ssl_module 已加载；用 openssl version 确保 ≥ 1.0.2（推荐 ≥ 1.1.1）

验证域名匹配与证书 SAN 是否严格一致

即使 SNI 正确路由，若 ServerName/ServerAlias 和证书的 Subject Alternative Name（SAN）不完全对应，浏览器仍会报错，而 Apache 可能退回到第一个可用证书。

• 用命令检查证书实际覆盖域名：openssl x509 -in /path/to/cert.pem -text -noout | grep -A1 "Subject Alternative Name"
• 若访问 www.example.com，证书 SAN 必须含 DNS:www.example.com；仅含 DNS:example.com 不够，需加 ServerAlias www.example.com
• 通配符证书 *.example.com 默认不覆盖 example.com，申请时需额外指定 -d example.com -d *.example.com

用 OpenSSL 模拟握手确认 SNI 路由是否生效

不依赖浏览器，直接验证服务端是否根据 SNI 返回正确证书，这是判断问题在客户端、网络还是 Apache 配置的分水岭。

• 执行：openssl s_client -connect example.com:443 -servername example.com -showcerts 2>/dev/null | openssl x509 -noout -subject，看输出是否为你期望的域名
• 再执行不带 -servername 的版本：openssl s_client -connect example.com:443 -showcerts ...，对比两次 -subject 输出是否不同
• 若相同，说明服务端忽略 SNI（配置未分离或模块未启用）；若不同，说明 SNI 生效，但你的域名配置或证书 SAN 仍有偏差