浏览器HTTPS服务器SSL证书验证机制与域名比对规则问询

首先明确核心结论：CA签名合法不是浏览器判定证书有效的唯一条件，域名匹配校验是强制的默认要求，不可能被浏览器主动忽略。

• 域名校验规则：当前主流浏览器（Chrome、Firefox、Edge等）优先校验X509证书的Subject Alternative Name (SAN)扩展字段，仅在证书无SAN扩展的兼容场景下才会读取Subject字段下的Common Name项，和地址栏的请求域名做精确匹配/通配符匹配。
• 不匹配的处理逻辑：一旦域名校验失败，无论证书的CA签名是否合法、证书本身是否在有效期内，浏览器都会默认直接拦截请求，展示全屏级别的不安全警告，用户无法直接访问目标站点，仅可通过手动点击高级设置中的「继续访问（不安全）」选项临时绕过，该操作属于用户主动承担风险的手动操作，不属于浏览器默认放行逻辑。
• 其他强制校验项：除了CA签名校验、域名匹配校验外，浏览器还会强制校验证书有效期是否合法、证书是否已被CA吊销（通过CRL、OCSP等机制校验）、公开信任的CA签发的证书是否符合Certificate Transparency（证书透明度）提交要求，任意一项不满足都会触发拦截逻辑。你提到的HPKP机制目前已经被Chrome、Firefox等主流浏览器废弃，当前主要通过证书透明度机制防范误签发/恶意签发的证书滥用。
• 和编程库的差异：你提到的Apache HTTP组件中的NoopHostnameVerifier属于开发者主动关闭域名校验的特殊配置，主流浏览器没有提供类似的全局关闭开关，默认所有HTTPS请求必须通过域名校验。

内容的提问来源于stack exchange，提问作者BartekS