| 校验依据 | 现代客户端只检查 SAN，CN 一般不再参与域名匹配 |
|---|---|
| 常见原因 | 证书漏签子域、CDN 回源拿错证书、访问 IP 未发送 SNI |
| 离线核对 | openssl s_client -verify_hostname 或 verify -verify_hostname |
核对 SAN 与校验结果
核对 SAN 与校验结果
echo | openssl s_client -connect example.com:443 -servername example.com 2>/dev/null | openssl x509 -noout -subject -ext subjectAltName
openssl verify -CAfile ca.pem -verify_hostname www.example.com cert.pem同一张证书包含多个 SAN 时，任意一个名称匹配即通过；排错时逐条比对而不是只看第一个。