是否需要为X.509主题备用名称添加类型前缀？

问题背景 #

我阅读RFC-2818（《HTTP Over TLS》）时注意到：

• 若证书存在dNSName类型的subjectAltName扩展，必须将其用作身份标识；
• 否则才会使用证书Subject字段中（最具体的）Common Name字段；
• 尽管Common Name是传统惯例，但已被弃用，证书颁发机构应改用dNSName。

这让我猜测subjectAltName必须“带有类型标识”，维基百科的X.509文章给出的示例也显示需要添加前缀：

X509v3 Subject Alternative Name: 
                DNS:*.wikipedia.org, DNS:*.m.mediawiki.org, DNS:*.m.wikibooks.org, ...

但我在RFC-2818、RFC-5280及相关文档中，都找不到这种“DNS:”前缀作为类型标识的参考资料或其他示例。我的测试显示不加前缀也能生效，但不确定这是不是浏览器遵循Postel法则（宽松接收）才兼容的，所以想确认：配置subjectAltName时是否需要提供“DNS:”前缀？

补充信息（编辑） #

根据@bartonjs的回答，我梳理了自己使用的工具链：
我实际用的是AWS-CDK，它基于CloudFormation，间接调用AWS Certificate Manager（ACM）SDK。根据ACM文档，我们需要传入的内容是：

要包含在ACM证书Subject Alternative Name扩展中的其他FQDN。

所以底层ACM SDK会默认这些字符串是FQDN，并自动将其转换为“类型2”（dNSName）条目。

解答 #

1. 标准层面的说明

   • 从X.509核心标准RFC 5280来看，subjectAltName是包含多类型条目的扩展字段，dNSName是其中的一种类型（ASN.1编码中类型标识为2）。
   • 你看到的“DNS:”前缀只是证书解析工具（比如OpenSSL）展示证书内容时的文本格式化方式，并非向CA提交域名时需要添加的内容。RFC系列文档从未要求提交subjectAltName条目时必须带这个前缀。

2. AWS ACM/CDK场景的实践

   • 结合你使用的AWS CDK/ACM场景，根据官方文档要求，只需传入纯FQDN字符串即可，底层SDK会自动将这些字符串标记为dNSName类型添加到证书的subjectAltName扩展中，完全不需要手动添加“DNS:”前缀。
   • 你测试中不加前缀能生效，并非只是浏览器宽松兼容，而是因为ACM已经按照标准正确处理了条目类型，生成的证书符合X.509规范，所以客户端可以正常识别验证。

内容的提问来源于stack exchange，提问作者fool4jesus