openssl - 处理证书中的主机名、主题备用名称

Question

在 x509 证书中应该如何比较主机名？

例如：如果证书是注册的*.abcorp.com，那么像这样的网站www.sales.abcorp.com可以对该证书有效吗？还是只有sales.abcorp.com在这种情况下才有效？

这个问题是为了消除我对 ssl 证书主机名检查实施的疑问。

谷歌浏览器与后者一起使用。即，如果证书的 CN 字段为*.abcorp.com，则只有站点 likesales.abcorp.com在该证书下有效，并且站点 likewww.sales.abcorp.com将抛出错误，指出服务器证书与 URL 不匹配。

Answer 1

此类证书称为通配符证书。在wiki上阅读了通配符证书，发现只支持单级子域匹配。

由于在域上支持 www 可能会意外地支持多个级别的域。因此，www.sales.abcorp.com 等案例不匹配。