curl如何为HTTPS请求指定目标主机名？SNI/TLS相关疑问

你遇到的问题核心，其实是TLS握手（包括SNI）和HTTP请求完全是两个先后独立的阶段——HTTP头里的Host字段，根本没机会参与到TLS证书验证的环节中。

咱们拆解两种请求的全过程，就清楚了：

第一种请求：curl -XGET https://a.example #

1. 首先，系统通过/etc/hosts把a.example解析到x.example的IP；
2. 发起TLS握手时，curl会把URL里的a.example作为SNI（Server Name Indication）字段发送给服务器；
3. 服务器收到SNI值是a.example，刚好有对应的证书，于是返回匹配的证书，握手成功；
4. 握手完成后，curl才发送HTTP请求，其中的Host头自然也是a.example，服务器正常返回200。

第二种请求：curl --header 'Host: a.example' https://x.example #

1. 这次curl解析的是x.example的IP；
2. TLS握手时，SNI字段填的是URL里的x.example，而不是你后来加的HTTP Host头；
3. 服务器的证书里只包含a.example和b.example的主题备用名称（SAN），完全没有x.example，所以证书验证失败，直接抛出SSL: no alternative certificate subject name matches target host name x.example错误；
4. 这时候TLS握手都没成功，HTTP请求（包括你加的Host头）根本没机会发送给服务器。

总结你的误解点 #

你以为--header 'Host: a.example'会让服务器用这个域名匹配证书，但实际上：

• SNI是TLS协议层的字段，在握手阶段就必须发送，用来让服务器选择对应证书；
• HTTP Host头是应用层的内容，只有在TLS握手成功后才会被发送，它只能影响服务器后续的路由/业务逻辑，和证书验证无关。

正确的模拟方式 #

如果你想用x.example的IP，但让服务器认为你在访问a.example（同时通过证书验证），可以用curl的--resolve参数强制域名解析，这样SNI和HTTP Host都会是a.example：

curl --resolve a.example:443:【x.example的IP】 https://a.example

或者用--connect-to参数指定目标IP：

curl --connect-to a.example:443:x.example:443 https://a.example

内容的提问来源于stack exchange，提问作者lf215