证书覆盖核验
证书SAN是否覆盖当前主机：字段读取步骤
只判断覆盖关系，不把证书有效等同于主体可信。 本文给出可复核步骤、状态边界、脱敏记录方法与复核路径。
浏览器显示连接经过加密时，仍需要核对证书列出的名称是否覆盖眼前主机。这个问题只涉及名称匹配，不回答页面由谁运营，也不回答服务是否值得信任。证书的主题备用名称通常简称SAN，应从浏览器证书查看界面或本机受控工具中读取，并与地址栏完整主机逐标签比较。页面徽标、品牌文字和锁形图标都不能代替这一过程。
本文使用“主机甲”和“证书样本乙”说明字段顺序，不包含真实证书结果。若当前主机、SAN原值、证书取得时间或浏览器告警状态任一缺失，覆盖判断写UNKNOWN。本站是独立核验工具，不托管安装包，也不声称任何主机属于华体会或具有当前可用性。证书查看界面在不同浏览器中可能翻译字段、折叠条目或省略通配符细节，记录者因此要保存界面语言和展开步骤。若只取得系统摘要而没有全部名称列表，报告必须说明可见范围，不能把未显示条目写成不存在。复核时还应检查SAN条目是否含前后空格、尾点或大小写规范化，比较副本可以处理这些差异，但原值保持不动。
同时取得地址栏主机和证书原值
先把地址栏展开，抄录不含路径和参数的完整主机，再打开浏览器提供的证书详情。证书记录至少保存序列号的脱敏引用、有效起止时间、签发对象、SAN列表截图编号和观察时间。主机截图与证书截图应在同一会话连续取得，避免把一个页面的地址与另一个连接的证书误配。浏览器无法显示详情时，记录界面限制，不能根据锁形图标补写。
证书截图可能含组织名称或其他主机，应按证据用途裁剪，但不可裁掉SAN条目边界。原始证据在受控位置保存，公开稿只列与比较有关的名称和时间。若连接被代理、安全软件或企业网关重新签发，也应记录这一环境事实；无法判断是否存在中间层时写UNKNOWN，不把签发者名称直接等同于目标主体。
- 主机与证书在同一会话取得
- 保留SAN条目边界和观察时间
- 锁形图标不能替代详情
优先使用SAN而不是只读通用名称
现代证书的主机覆盖通常由SAN扩展表达。即使通用名称字段看起来与地址相似，只要SAN存在，就应逐项检查SAN。记录每个名称的原始形式、是否含通配符以及条目序号。不能只摘录第一个看起来熟悉的名称；列表中的其他条目可能帮助解释证书范围，但也不证明这些主机具有相同运营关系。
若浏览器界面只显示摘要，且无法展开全部SAN，状态应写“列表不完整”。此时可以说明已见条目是否匹配，却不能声明证书没有其他名称。证书中出现某品牌词也不构成授权证明。本文的判断单位始终是“某条SAN是否按规则覆盖某个完整主机”，而不是“证书是否官方”。
- 存在SAN时逐条读取SAN
- 列表不完整需显式标记
- 证书文字不作为授权依据
精确名称按标签完整匹配
不含通配符的SAN名称应与当前主机进行完整比较。先处理大小写规范，再比较标签数量、每段字符和顶级域。路径、端口及查询参数不参与名称覆盖。尾部句点、国际化表示或浏览器规范化可能造成显示差异，因此原始值与用于比较的规范值要同时保留，不能只保存处理后的字符串。
合成练习可以让主机甲与SAN条目甲完全相同，再让主机乙多一个子域，确认工作表能把两种情况区分。练习不产生真实覆盖结论。若规范化工具无法解释字符，比较结果UNKNOWN。即使精确匹配成立，摘要也只能写“该SAN条目覆盖所观察主机的名称形式”，不能写成主体可信或页面安全。
- 路径端口参数不参与SAN匹配
- 原始值和规范值同时保存
- 匹配结论限定为名称覆盖
通配符只覆盖规定的单一标签层级
通配符名称常以星号出现在最左侧标签。核对时不能把星号理解为任意深度、任意位置的替代。应明确通配符所在标签、后续固定标签和当前主机多出的层级。一个只替代最左侧单标签的规则，通常不能自动覆盖再多一层的子域，也不能替代主体标签中的部分字符。
工作表为通配符建立三列：证书模式、待核主机、标签层级差。若所用验证环境对通配符规则无法确认，不根据经验给出肯定结果，而是记录规则来源缺失和UNKNOWN。即便通配符按语法覆盖，也只说明名称匹配，不代表该证书可以证明页面内容、外部跳转或服务承诺。
- 记录通配符所在标签
- 多层子域不被模糊吞并
- 规则来源不明则保持UNKNOWN
国际化主机保留显示形式和ASCII形式
含非ASCII字符的主机可能在地址栏显示为本地文字，而证书使用ASCII兼容形式。比较时保存两种形式，并记录转换工具与版本。观察者应先确认转换是可逆的，再按标签比较；不能凭视觉相近判断。若浏览器在不同界面使用不同表示，截图编号要指明每种表示出现的位置。
可能存在跨字母表的同形字符，因此显示形式一致并不足够。将每个标签转换后对照码位或ASCII序列，转换失败即把相关字段设为UNKNOWN。公开示例使用合成字符，不展示真实目标。这个步骤的目的只是避免误报匹配或不匹配，不对域名注册关系作推断。
- 显示与ASCII形式两者保留
- 注明转换工具和版本
- 转换失败不靠视觉猜测
把覆盖结果与证书时间分成两栏
名称匹配和时间有效是不同维度。SAN覆盖栏回答字符串规则，时间栏记录证书的生效时间、到期时间、观察时钟和时区。名称覆盖成立但观察时间在有效期外，不能合并成一个“通过”。同样，处在日期范围内也不能弥补名称不匹配。分别显示能避免绿色状态掩盖关键差异。
本机时钟错误会影响浏览器判断，因此要记录系统时间来源是否可确认。无法确认时，可以抄录证书日期，却不能声称当下有效。证书撤销状态、信任链和服务器配置属于额外问题，若未测试则明确列为未覆盖，而不是留空让读者误以为已经检查。
- 名称覆盖与时间有效分栏
- 记录观察时区和本机时钟状态
- 未测信任链项目明确列出
输出有限观察并设置停止条件
最终证据卡包含完整主机、SAN原值、规范值、匹配类型、通配符层级、证书起止时间、观察时间、环境和截图编号。另一名复核者在不知道首轮结论的情况下重做标签比较。结果不一致时保留两份计算与争议点，不用单一颜色覆盖。证据不全时写UNKNOWN，并列出待补字段。
浏览器若显示名称不匹配、过期、未知签发或其他证书警告，应停止与页面的进一步交互，不使用高级继续选项。只保存非敏感错误文字和证书字段，关闭页面。本文不提供绕过保护的办法，也不把任何“覆盖”结果写成官方身份、下载安全或长期服务保证。
- 复核者独立重做匹配
- 争议结果并列保留
- 证书警告出现即停止
- 覆盖结论不升级为身份结论
