证书域名匹配判读

校验以 SAN 列表为准（CN 已弱化）：请求域名不在 SAN 内即触发告警；SNI、Host、证书记录三者不一致时按顺序核对。

用途	定位域名不匹配告警
字段	tls.handshake.extensions_server_name、证书 SAN

核对顺序

1) SNI = 请求域名？
2) 证书 SAN 含该域名（含通配范围）？
3) Host 头与 SNI 一致？
# 任一不符都可能被严格客户端拒绝

通配符只覆盖一级子域（*.example.com 不匹配 a.b.example.com）。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌