SSL与iframe：同一证书能否用于嵌入的iframe网站？

嘿，我来给你理清楚这个问题的核心逻辑：

• 你的通配符证书无法覆盖嵌入的外部网站
  你持有的*.something.com通配符证书，仅对something.com的一级子域名有效（比如somethingelse.something.com、abc.something.com这类）。嵌入的网站如果不属于something.com的子域，这个证书完全管不到它——因为浏览器会单独验证每个被加载资源（包括iframe里的网站）的SSL证书是否匹配其自身域名。如果嵌入的网站没有自己的有效SSL证书，浏览器会直接弹出安全警告，和你父站点的证书没有任何关系。

• 父站点的身份不能覆盖嵌入网站
  每个iframe在浏览器里是独立的浏览上下文，拥有自己的域名、证书验证逻辑和安全策略。父站点somethingelse.something.com的身份只针对它自身的页面内容，无法“覆盖”或“继承”给iframe里的外部网站。简单来说：你自己的站点是安全合规的，但iframe里的网站得自己搞定它的SSL证书，不然浏览器照样不认。

举个直观的例子：你用somethingelse.something.com嵌入example.com，浏览器会分别检查somethingelse.something.com的证书（你的通配符证书没问题），以及example.com的证书（它得有自己的有效证书），两者互不干扰。如果example.com没证书或证书无效，不管你父站点的证书多合规，浏览器都会提示不安全。

内容的提问来源于stack exchange，提问作者A. Savva