面试题：安全认证之SSL证书多域名支持的基础方案

Question

请阐述在后端开发中，实现SSL证书支持多个域名的常见基础方案有哪些，以及它们各自的优缺点。

Answer 1

常见基础方案

1. 通配符证书（Wildcard SSL Certificate）
   • 使用方法：通配符证书允许在一个证书中保护一个主域名及其所有子域名。例如，*.example.com 可以保护 sub1.example.com、sub2.example.com 等所有以 example.com 为后缀的子域名。
   • 优点：
     • 成本效益高：相比为每个子域名单独购买证书，通配符证书只需购买一份，降低了成本。
     • 管理方便：只需要管理一个证书，更新和维护较为简单，尤其适用于子域名较多的情况。
   • 缺点：
     • 有限的灵活性：只能保护特定主域名下的子域名，不能用于不同主域名。例如，不能同时保护 example.com 和 anotherdomain.com。
     • 安全性风险：如果一个子域名的私钥泄露，整个通配符证书覆盖的所有子域名都可能受到威胁，因为它们共享同一个证书。
2. 多域名证书（Subject Alternative Name，SAN 证书）
   • 使用方法：SAN 证书允许在证书的“Subject Alternative Name”字段中指定多个不同的域名，这些域名可以是不同的主域名或子域名。例如，证书可以同时包含 example.com、sub1.example.com、anotherdomain.com 等多个域名。
   • 优点：
     • 高度灵活性：可以包含多个不同的域名，无论是主域名还是子域名，满足企业拥有多个不同域名网站的需求。
     • 增强安全性：每个域名在证书中有独立的标识，一个域名的安全问题不会影响其他域名，相比通配符证书安全性更高。
   • 缺点：
     • 成本较高：由于可以支持多个不同域名，价格通常比通配符证书贵，尤其当包含大量域名时成本显著增加。
     • 管理相对复杂：随着包含域名数量增多，证书更新、管理的复杂度上升，需要更谨慎地处理每个域名的相关信息。