Apache配置双域名SSL代理时证书验证失败问题

你遇到的证书验证错误，核心不是Apache的SSL配置问题，而是后端ASP.NET Core服务返回的响应里（比如Cookie的Domain属性、页面内的绝对URL、跳转Location头）硬编码了informatyk2022a.online域名。当用户访问dropdown.pl时，浏览器收到这些带另一个域名的内容，会触发跨域证书校验逻辑，认为证书不匹配。

方法一：通过Apache修改响应内容（快速生效） #

1. 先启用Apache的mod_substitute模块（用于替换响应内容里的域名）：

   a2enmod substitute
   systemctl restart apache2
   

2. 修改dropdown.pl的VirtualHost配置，在代理指令后添加内容替换规则，同时确保代理到后端HTTP端口（避免HTTPS代理的证书校验问题）：

   <VirtualHost dropdown.pl:443>
       SSLEngine on
       SSLCertificateFile  /etc/letsencrypt/live/dropdown.pl/fullchain.pem
       SSLCertificateKeyFile /etc/letsencrypt/live/dropdown.pl/privkey.pem
   
       # 启用内容替换
       AddOutputFilterByType SUBSTITUTE text/html text/css text/javascript application/json
       # 替换响应里的informatyk2022a.online为dropdown.pl
       Substitute "s|informatyk2022a.online|dropdown.pl|ni"
   
       # 代理到后端HTTP端口（替换成你的服务实际HTTP端口）
       ProxyPass / http://informatyk2022a.online:7182/
       ProxyPassReverse / http://informatyk2022a.online:7182/
       # 修正Cookie的Domain属性
       ProxyPassReverseCookieDomain informatyk2022a.online dropdown.pl
   </VirtualHost>
   

方法二：修改ASP.NET Core服务适配多域名（更彻底） #

让后端服务根据请求的Host头动态生成URL和Cookie属性，而非硬编码域名：

• 在ASP.NET Core代码中，生成URL时使用HttpRequest.Host属性，替代固定的informatyk2022a.online字符串；
• 配置Cookie的Domain属性为null，或根据当前请求Host动态设置，避免硬编码指定域名。

这种方案无需依赖Apache的内容替换，是多域名适配的规范做法。

不推荐的临时测试方案 #

如果必须代理到后端HTTPS端口，可以让Apache忽略后端证书的域名校验，但这会降低服务安全性：

<VirtualHost dropdown.pl:443>
    SSLEngine on
    SSLCertificateFile  /etc/letsencrypt/live/dropdown.pl/fullchain.pem
    SSLCertificateKeyFile /etc/letsencrypt/live/dropdown.pl/privkey.pem

    SSLProxyEngine on
    # 忽略后端证书的域名校验
    SSLProxyCheckPeerCN off
    SSLProxyCheckPeerName off
    ProxyPass / https://informatyk2022a.online:7183/
    ProxyPassReverse / https://informatyk2022a.online:7183/
    ProxyPassReverseCookieDomain informatyk2022a.online dropdown.pl
</VirtualHost>

内容的提问来源于stack exchange，提问作者jacek