http-SNI - 技术栈

SNI（Server Name Indication，服务器名称指示）是 TLS/SSL 协议的一个扩展，它允许客户端在建立安全连接（如 HTTPS）的握手阶段，明确告诉服务器它想要访问的具体域名。Apache HttpClient 作为 Java 环境下常用的 HTTP 客户端库，自然也支持这一机制。

为什么需要 SNI？

在传统的 SSL 握手过程中，客户端连接到一个 IP 地址，服务器返回自己的数字证书。如果一台服务器（同一个 IP 地址）上托管了多个不同的 HTTPS 站点（例如 a.com 和 b.com），每个站点都有自己的 SSL 证书，服务器就无法事先知道客户端想要访问哪个域名，因此无法返回正确的证书。

SNI 解决了这个问题：客户端在握手时通过 SNI 扩展将目标主机名（如 a.com）发送给服务器，服务器根据这个主机名选择合适的证书返回给客户端，从而完成正确的 SSL 握手。

Apache HttpClient 中 SNI 的作用

当你的 Java 应用通过 Apache HttpClient 访问一个 HTTPS 接口时，如果目标服务器要求 SNI（比如现代 CDN、云服务或共享 IP 的虚拟主机），那么 HttpClient 必须在 TLS 握手时自动提供正确的 hostname，否则连接可能失败或抛出 SSL 异常（如证书不匹配）。

HttpClient 默认支持 SNI 吗？

HttpClient 4.3 及以上版本 ：基于 org.apache.http.conn.ssl.SSLConnectionSocketFactory 的实现，默认会根据请求的 URI 中的主机名自动设置 SNI。
HttpClient 5.x ：同样默认会从 HttpHost 中提取目标主机名，并在 SSL 握手时通过 SNI 发送。

因此，在大多数情况下，你无需额外配置，只要使用标准的 HttpClient 构建方式（如 HttpClients.createDefault() 或自定义 SSLConnectionSocketFactory 时未禁用 SNI），它就会自动处理 SNI。

潜在问题与配置

如果遇到证书错误或握手失败，可以检查以下几点：

确保 HttpClient 版本足够新（4.3+）。

自定义 SSL 上下文时不要破坏 SNI ：如果你自己创建 SSLContext 并传入 SSLConnectionSocketFactory，应确保构造时使用正确的 HostnameVerifier 和 SSLContext，并且不要手动屏蔽 SNI 扩展。例如：

java 复制代码

SSLContext sslContext = SSLContexts.createDefault();
SSLConnectionSocketFactory socketFactory = new SSLConnectionSocketFactory(
        sslContext,
        new String[]{"TLSv1.2"},   // 支持的协议
        null,
        HttpsURLConnection.getDefaultHostnameVerifier());  // 主机名验证器
CloseableHttpClient client = HttpClients.custom()
        .setSSLSocketFactory(socketFactory)
        .build();

代理或隧道场景：如果通过代理连接 HTTPS，可能需要确保 SNI 信息被正确传递。HttpClient 在通过代理建立隧道（CONNECT）时，同样会保持 SNI。

总结

SNI 是 TLS 扩展，用于在握手时告知服务器客户端要访问的域名。
Apache HttpClient 默认支持 SNI，能自动从请求 URL 中提取主机名并发送。
通常你不需要为此做特殊配置，但自定义 SSL 连接工厂时应避免禁用 SNI 功能。

这样，你的 Java 应用就能正确地与现代 Web 服务器建立安全的 HTTPS 连接。