APP接口HTTPS证书报错怎么排查？从证书链到SNI全梳理

　　APP开发中，HTTPS接口报错是常见但棘手的问题。和浏览器不同，APP客户端对证书的校验逻辑更严格，很多在浏览器里能正常访问的接口，放到APP里就请求失败。这里把APP场景下最常见的证书报错原因和排查方法梳理清楚。

　　证书链不完整：最常见的原因

　　APP客户端（尤其是iOS）不会像浏览器那样自动缓存和补全中间证书。如果服务器只返回了服务器证书，没有返回中间证书，APP端会直接判定证书不可信，请求失败。而桌面浏览器因为内置了中间证书缓存，可能显示正常，这就导致了"浏览器能打开、APP调不通"的诡异现象。

　　排查方法：用SSL检测工具扫描接口域名，查看证书链是否完整。如果显示"链不完整"或"缺少中间证书"，就需要把中间证书和服务器证书合并后重新部署。安信证书提供的证书文件已经包含完整链，直接使用即可。

　　SNI不支持：老旧服务器的坑

　　SNI（Server Name Indication）允许一台服务器上部署多个域名的证书。如果服务器或客户端不支持SNI，会导致证书返回错误，APP报"证书名称不匹配"。这种情况在使用共享IP的虚拟主机、老旧版本的Nginx或Apache上比较常见。

　　排查方法：确认服务器软件版本是否支持SNI，Nginx 1.11.5以上版本默认支持。如果使用的是云服务器，确认负载均衡或CDN是否开启了SNI。

　　证书域名不匹配

　　证书绑定的域名和APP实际请求的域名不一致，也会报错。比如证书只绑定了api.example.com，但APP里写的是api2.example.com，或者反过来。通配符证书可以覆盖所有同级子域名，但不能跨级覆盖（比如*.example.com不能覆盖a.b.example.com）。

　　排查方法：对比证书中的SAN（主题备用名称）字段和APP请求的域名，确认完全一致。如果域名较多，建议使用通配符或多域名证书。

　　证书过期或即将过期

　　证书过期后APP会直接拒绝连接。有些APP还会在证书即将过期时提前报错。199天新规下证书有效期缩短，续期频率提高，更容易出现遗漏。建议使用提供到期提醒的证书服务商，安信证书会在到期前主动通知客户，避免过期。

　　APP接口HTTPS报错，绝大多数情况出在证书链不完整、域名不匹配、SNI不支持这三个点。按照上面的顺序逐一排查，基本能定位问题。如果自己排查困难，安信证书提供7×12小时人工技术支持，客服会协助分析报错日志、远程检查服务器配置。有APP接口证书需求的开发者，可以访问安信证书官网查看各品牌产品，速安信OV单域名1280元/年，签发后提供免费安装指导 https://www.anxinssl.com/antrust/ov-wildcard/ 。