SSL证书中“使用者”和“使用者可选名称”是什么？
2023-06-25
SSL证书中“使用者”和“使用者可选名称”是什么？本文将为大家介绍使用者（Common Name, CN）和使用者可选名称（Subject Alternative Name, SAN）。
“使用者”是Windows证书查看器新启用的名称，原先名称是“通用名称”，就是Common Name的直译，只能包含一个域名，一个单域或一个通配域名，这个字段是X.509证书标准中标准字段，在Netscape发明SSL证书时被用于绑定网站的域名，在邮件证书中用于绑定电子邮件地址，在客户端身份证书中用于绑定个人姓名或单位名称，在代码签名证书和文档签名证书中用于绑定单位名称。
但是，随着SSL证书的普及应用，一张证书绑定一个域名无法满足用户的应用需求，所以X.509规范就增加了一个扩展项：Subject Alternative Name（SAN），主题备用名称或使用者可选名称，这个扩展字段可以是域名、电子邮件地址、IP地址、网址等信息，允许写入多条数据，这就有了多域证书。2000年5月发布的国际标准RFC2818指定主题备用名称作为将域名添加到SSL证书的首选方法，弃用以前将域名添加到通用名称字段的方法。
CA/浏览器论坛制定的基线标准要求 SAN 中必须包含通用名称中的域名或IP地址，从而有效地使 SAN 成为与网站域名相匹配的唯一必需验证依据，通用名称字段已经被弃用，但允许CA签发含有通用名称的SSL证书，仅作为过去的技术遗产而存在。谷歌浏览器从58版本（2017年3月）开始就根本不再检查通用名称字段的信息，只查看和验证SAN字段，这实际上是加快了浏览器验证SSL证书时间，提升了用户体验。
也就是说：SSL证书标准要求必须有SAN字段，必须把网站域名写入到这个字段，这个字段可以写入多个域名和IP地址，但一般不会超过100个，绑定太多的域名也不是很好的选择，因为太多域名会导致SSL证书文件变大，这就会增加浏览器同服务器握手时的流量，不仅浪费了流量，而且影响浏览器的SSL证书验证效率，降低了用户体验。
“使用者”是Windows证书查看器新启用的名称，原先名称是“通用名称”，就是Common Name的直译，只能包含一个域名，一个单域或一个通配域名，这个字段是X.509证书标准中标准字段，在Netscape发明SSL证书时被用于绑定网站的域名，在邮件证书中用于绑定电子邮件地址，在客户端身份证书中用于绑定个人姓名或单位名称，在代码签名证书和文档签名证书中用于绑定单位名称。
但是，随着SSL证书的普及应用，一张证书绑定一个域名无法满足用户的应用需求，所以X.509规范就增加了一个扩展项：Subject Alternative Name（SAN），主题备用名称或使用者可选名称，这个扩展字段可以是域名、电子邮件地址、IP地址、网址等信息，允许写入多条数据，这就有了多域证书。2000年5月发布的国际标准RFC2818指定主题备用名称作为将域名添加到SSL证书的首选方法，弃用以前将域名添加到通用名称字段的方法。
CA/浏览器论坛制定的基线标准要求 SAN 中必须包含通用名称中的域名或IP地址，从而有效地使 SAN 成为与网站域名相匹配的唯一必需验证依据，通用名称字段已经被弃用，但允许CA签发含有通用名称的SSL证书，仅作为过去的技术遗产而存在。谷歌浏览器从58版本（2017年3月）开始就根本不再检查通用名称字段的信息，只查看和验证SAN字段，这实际上是加快了浏览器验证SSL证书时间，提升了用户体验。