sslstrictsnivhostcheck是apache mod_ssl中控制sni严格校验的全局指令，on时拒绝无sni请求，off时回退至首个虚拟主机；必须置于全局配置中，不可在内设置。

sslstrictsnivhostcheck 是 apache mod_ssl 中控制 sni（server name indication）严格校验行为的关键指令，它决定当客户端不支持或未发送 sni 扩展时，服务器如何响应 https 请求。

作用与取值含义

该指令必须放在全局配置上下文（即 httpd.conf 或主配置文件中），不能写在 <virtualhost></virtualhost> 块内。它有两个合法值：

• on：强制要求客户端提供 SNI；若请求不含 SNI，Apache 将拒绝 TLS 握手（返回空响应或直接断连），浏览器显示 ERR_SSL_PROTOCOL_ERROR 等错误
• off：允许无 SNI 的连接，此时 Apache 会按配置顺序匹配第一个可用的 <virtualhost></virtualhost> 块（即“默认虚拟主机”），可能返回错误证书

开发和测试环境推荐设为 off，避免旧客户端或工具（如部分 curl 版本、Java 7 以下 HTTP 客户端）因不支持 SNI 而无法访问；生产环境可设为 on，提升安全性并防止证书错配被利用。

正确配置位置

务必在所有 <virtualhost></virtualhost> 定义之外的全局区域设置，例如：

D:\phpEnv\Apache\conf\httpd.conf

末尾添加：

SSLStrictSNIVHostCheck off

⚠️ 若误写在某个 <virtualhost></virtualhost> 内，Apache 启动时会报错：Invalid command 'SSLStrictSNIVHostCheck', perhaps misspelled or defined by a module not included in the server configuration，因为该指令不属于虚拟主机上下文。

SSL Certificate Monitor

检查一个或多个域名的 SSL/TLS 证书到期时间、颁发者、协议及 SAN 信息，用于应要求检查证书、监控到期或验证 HTTPS 等场景。

下载

配合多域名 HTTPS 的典型用法

启用 SNI 多域名需同时满足三项：

• 每个域名对应独立的 <virtualhost></virtualhost> 块，各自指定 SSLCertificateFile 和 SSLCertificateKeyFile
• 全局启用 mod_ssl，且 SSLEngine on 在每个虚拟主机块内
• 全局设置 SSLStrictSNIVHostCheck off（调试阶段）或 on（上线后）

例如，在 httpd-vhosts.conf 中定义两个站点后，确保主配置里有：

LoadModule ssl_module modules/mod_ssl.so
Include conf/extra/httpd-ssl.conf
SSLStrictSNIVHostCheck off

验证是否生效

重启 Apache 后，可用 OpenSSL 命令检测 SNI 行为：

• 带 SNI 请求（应成功）：openssl s_client -connect site-a.test:443 -servername site-a.test
• 不带 SNI 请求（取决于配置）：openssl s_client -connect site-a.test:443（若设为 off，会落到默认虚拟主机；若为 on，握手失败）

观察输出中的 subject= 和 issuer= 是否匹配预期域名证书，即可确认 SNI 路由是否按配置工作。