Safari无法访问绑定自定义域名的Heroku多租户Rails应用求助

排查思路及解决方案 #

• 首先验证SSL证书覆盖完整性
  检查Heroku配置的SSL证书是否同时覆盖根域名和带www的子域名，Safari对证书不匹配场景的容错率远低于Chrome、Firefox，若根域名证书无效，Safari会直接终止请求，不会执行到重定向逻辑，直接表现为超时。
• 排查CNAME解析链嵌套问题
  Safari从Big Sur版本开始内置CNAME伪装拦截机制，若你的DNS存在多级CNAME嵌套（例如根域名CNAME到www子域名，再CNAME到xxx.herokudns.com，herokudns域名本身还有一层内部CNAME），且解析链首尾域名不在同一公共后缀下，会触发拦截直接断开连接。可更换根域名的重定向实现方式：用ALIAS/ANAME记录替代CNAME实现根域名跳转，减少解析链层级。
• 验证HTTP/2兼容性
  可临时在Heroku应用设置中关闭HTTP/2功能测试访问是否恢复，部分旧版本Safari对HTTP/2的帧处理、头部压缩逻辑存在兼容性Bug，会导致请求无响应。
• 检查多租户逻辑的请求头适配
  对比Safari与Chrome的请求头差异，重点校验Host字段、Safari专属安全头是否会导致你的Rails多租户逻辑匹配失败，若未匹配到对应租户后逻辑直接丢弃请求无返回，也会符合你观测到的Wireshark抓包现象。
• 校验TLS配置是否符合Apple ATS要求
  Safari对TLS版本、加密套件的要求严格，需确认Heroku的SSL配置已开启TLS 1.2、TLS 1.3，且加密套件符合Apple的应用传输安全要求，不符合的场景下Safari会直接终止TLS握手无响应。

临时验证方案 #

若上述排查都无法定位问题，可临时将自定义域名切换到Cloudflare代理模式，Cloudflare会自动完成CNAME扁平化处理，避免触发Safari的CNAME伪装拦截规则，你之前使用Cloudflare WARP访问正常就是因为WARP已提前完成了解析扁平化处理。

内容的提问来源于stack exchange，提问作者Omar Hussein