.htaccess - 如果我不使用 www，我要认证哪个子域？

Question

我正在开发一个 Javascript 应用程序，我要让它在 Facebook 上可见。 Facebook 要求我在我的服务器上设置一个特殊目录，该目录将提供相关的 PHP 和 Javascript 代码。我的叫做 /canvas。

他们还要求使用 https 建立连接。好的，好的，所以我正在考虑购买 SSL 证书。

我在我的 .htaccess 文件中使用了以下代码，这样人们就不必输入“WWW”即可访问我的域:

RewriteCond %{HTTP_HOST} ^www\.(.+)$ [NC]
RewriteRule ^(.*)$ http://%1/$1 [R=301,L]

所以我假设我想将 Facebook 发送到的 URL 是 https://mydomain.com/canvas。

但是我有点疑惑，因为好像在购买SSL证书的时候，我需要指定一个子域名。

有没有办法指定它，以便不带“www”的“mydomain.com”是应用 SSL 证书的地方？

或者这是不可取的？我应该为安全交易留出一个特殊的子域吗？像 https://secure.mydomain.com 这样的东西？

我以前从未使用过 SSL 证书，所以请以新手可以理解的水平回答。

Answer 1

最重要的一点是您需要证书匹配用户请求的主机名(即使在重定向之后)。为了能够为 www.example.com 和 example.com 提供服务，您需要一个同时包含主题备用名称 (SAN) 条目的证书。

您不必指定子域，但这取决于 CA 为您颁发的内容。有些人会非常乐意颁发带有两个 SAN 条目(带和不带 www)的证书，在某些情况下无需额外费用。

如果您想通过 https://example.com 提供所有服务，那很好，但是如果您的证书没有用于 www.example.com 的 SAN >，与 https://www.example.com 的初始连接(在重定向之前)将导致客户端出现证书错误。因此，同时拥有两者很有用。