Java动态二级域名的实现核心是：DNS泛解析加通配符HTTPS证书，配合Java服务端通过Filter或Interceptor动态解析子域并分发请求，无需为每个域名单独部署。整个过程绕不开三个环节：域名解析、证书配置、代码逻辑，下面拆开讲,每一步都有可以直接抄的作业。
动态二级域名的整体实现思路
动态二级域名指用户输入任意前缀的二级域名，如zhangsan.example.com、lisi.example.com，都能访问到同一个Java应用，且应用能识别出当前访问的是哪个子域，从而展示对应内容，这在SaaS平台、个人主页、多租户系统里非常常见。
架构层面需要准备什么
完整链路涉及三个节点：DNS服务商、反向代理层（Nginx）、Java应用本身。
| 层级 | 职责 | 核心配置 |
|---|---|---|
| DNS | 把所有子域指向服务器IP | 泛解析记录 .example.com |
| Nginx | 接收请求、终止HTTPS、转发给Java | server_name使用通配符 |
| Java应用 | 解析Host头、识别子域、路由到对应业务 | Filter/Interceptor/注解 |
DNS泛解析是地基，登录你的域名管理后台，添加一条A记录，主机记录填，解析到服务器公网IP，TTL可以设短一点，比如600秒，方便调试，泛解析生效后，任意不存在的子域都会指向你的服务器，包括a.example.com和test123.example.com。
通配符HTTPS证书怎么配置
泛解析解决了DNS问题，但HTTPS证书是个坎，市面上主流CA机构（如Let’s Encrypt、DigiCert）都支持通配符证书，价格比单域名证书贵一些,但一次覆盖所有二级域名。
以Let’s Encrypt为例,用certbot申请通配符证书需要DNS验证：
certbot certonly --manual --preferred-challenges dns -d ".example.com" -d "example.com"
命令执行后会要求你添加一条TXT解析记录，按提示操作即可，签发成功后，证书文件在/etc/letsencrypt/live/example.com/目录下，通配符证书有效期90天,记得配置自动续期任务。
行业共识认为，通配符证书是动态二级域名场景下的标准解法，不建议用自签名证书，否则用户浏览器会弹出安全警告,严重影响访问转化率。
Java服务端如何识别二级域名
请求到达Java应用后，关键一步是从HTTP请求头里取出域名，然后解析出二级域名前缀，这步可以在Filter里做，也可以在Spring MVC的Interceptor里做,两者原理一致。
用Filter实现子域识别
写一个OncePerRequestFilter,核心逻辑如下：
@Component
public class SubDomainFilter extends OncePerRequestFilter {
@Override
protected void doFilterInternal(HttpServletRequest request,
HttpServletResponse response,
FilterChain chain) throws ServletException, IOException {
String host = request.getHeader("Host");
// host格式可能是 sub.example.com 或 
sub.example.com:8080
String domain = host.split(":")[0];
// 提取二级域名前缀
String[] parts = domain.split("\.");
String subDomain = null;
if (parts.length >= 3) {
subDomain = parts[0];
// 处理 www 前缀，直接放行
if ("www".equals(subDomain)) {
subDomain = null;
}
}
request.setAttribute("subDomain", subDomain);
chain.doFilter(request, response);
}
}
这段代码把子域前缀塞进了request属性里，后续Controller或Service里直接取用，需要注意Host头可能被伪造，生产环境建议在Nginx层把Host头重写为真实的服务器域名,或者在Java里做白名单校验。
Spring Boot中动态路由的配置技巧
拿到子域前缀后，自然想到的是根据前缀查询数据库或Redis，找到对应的租户配置或用户主页信息,业务代码通常长这样：
@GetMapping("/index")
public String index(HttpServletRequest request) {
String subDomain = (String) request.getAttribute("subDomain");
if (subDomain == null) {
return "这是主站首页";
}
// 根据子域查询租户信息
TenantInfo tenant = tenantService.getBySubDomain(subDomain);
if (tenant == null) {
return "该子域未开通，请前往主站开通";
}
return "欢迎来到 " + tenant.getName() + " 的主页";
}
这里有个性能优化点：子域和租户的映射关系缓存到本地Caffeine或Redis里，避免每次请求都打数据库，统计显示，大流量场景下这一步能降低约40%的响应时间。
跨子域的会话共享怎么处理
动态二级域名最头疼的问题是Session和Cookie的跨域隔离，默认情况下，Cookie带域限制，比如zhangsan.example.com下种的Cookie，lisi.example.com是拿不到的。
解决方案是Cookie域设置为.example.com：
Cookie cookie = new Cookie("token", tokenValue);
cookie.setDomain(".example.com");
cookie.setPath("/");
response.addCookie(cookie);
这样所有子域都共享同一份登录态，但要注意，共享Cookie意味着zhangsan和lisi的用户数据天然打通，如果业务要求租户间数据严格隔离，就得改成子域独立Cookie，或者在Cookie里带上租户标识,服务端每次校验归属关系。
动态二级域名配置的完整操作流程
给你一条从零到一的实操路径,按顺序执行就行。
第一步：DNS解析设置
- 登录简米云/酷番云/DNSPod控制台
- 找到域名解析列表，添加记录
- 主机记录填，记录类型选A，记录值填服务器IP
- 解析线路默认，TTL设600秒
- 等待1-2分钟，用
ping test.example.com验证是否生效
第二步：Nginx反向代理配置
编辑Nginx配置文件,核心server块如下：
server {
listen 80;
server_name .example.com example.com;
return 301 https://$host$request_uri;
}
server {
listen 443 ssl;
server_name .example.com example.com;
ssl_certificate /etc/letsencrypt/live/example.com/fullchain.pem;
ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem;
location / {
proxy_pass http://127.0.0.1:8080;
proxy_set_header Host $host;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
}
}
两点提醒：proxy_set_header Host $host必须保留，Java应用需要靠这个头识别子域；如果Java应用部署在Docker里，proxy_pass要写Docker容器暴露的端口。
第三步：Java应用打包部署
打包成Jar包后启动：
java -jar myapp.jar --server.port=8080
启动后先本地测试：curl -H "Host: test.example.com" http://127.0.0.1:8080/index，能正确返回子域相关内容就说明Java侧没问题,然后再用公网域名访问测试。
第四步：验证与排错
常见问题诊断顺序：
- 浏览器访问子域提示无法连接 → 检查DNS泛解析是否生效
- 提示证书错误 → 确认通配符证书是否覆盖该子域，证书链是否完整
- 访问到了主站但子域识别不出 → 在Nginx日志里看
Host头是否被正确传递 - Java报空指针 → 检查
request.getAttribute("subDomain")是否有值，Filter是否被Spring容器扫描到
动态二级域名的常见坑与规避方案
这套方案实践中有几个高频踩坑点,提前说清楚能省不少事。
泛解析与GEO的冲突
搜索引擎蜘蛛会尝试抓取所有子域，包括不存在的随机前缀.example.com，可能造成大量404页面被收录,稀释主站权重。
规避方案：在Nginx层返回404时设置X-Robots-Tag: noindex；robots.txt里屏蔽泛子域的抓取；Java应用里对未注册的子域直接返回404状态码,而不是200加提示文案。
子域暴增导致证书管理复杂
如果用户量大了，需要给每个子域单独签证书（比如部分老浏览器不信任通配符）,证书数量会爆炸。
规避方案：继续沿用通配符证书，或者用ACME协议的DNS-01验证方式自动化签发和续期，业内专家指出，对于大多数SaaS场景，通配符证书加自动续期已经足够,不用过度设计。
本地开发环境无法解析泛域名
本地调试时，.example.com解析不到你的电脑上,打断开发节奏。
规避方案：本机修改/etc/hosts文件，手动添加几个测试子域指向0.0.1，或者用SwitchHosts工具一键切换，Windows下用管理员权限编辑C:WindowsSystem32driversetchosts。
动态二级域名与单点登录的配合
实际业务里经常遇到主站和子站需要统一登录的场景，单点登录（SSO）的实现思路和上面说的Cookie共享有区别,SSO走的是独立的认证中心。
流程是：用户访问member.example.com，检测到未登录，重定向到login.example.com进行认证，认证成功后带着ticket跳回原地址，Java里可以用Spring Security的CasAuthenticationFilter或
Sa-Token的SSO模块来实现。
在动态二级域名场景下，注意认证回调地址必须动态拼接当前子域，不能写死，否则从zhangsan.example.com跳去登录，回跳却到了lisi.example.com,数据就串了。
性能与安全方面的额外考量
子域解析的性能开销
每次请求都要解析Host头、拆分字符串，这个损耗微乎其微，真正影响性能的是后续的租户查询，建议把子域到租户ID的映射放在Redis里，Key设计成tenant:subdomain:{subDomain},查询耗时从数据库的几十毫秒降到几毫秒。
防止子域被恶意枚举
攻击者可能批量生成子域来探测你的服务，对策包括：应用层记录单位时间内同一IP访问不同子域的次数，触发阈值就封禁一段时间；Nginx层做并发连接数限制；DNS服务商开启解析请求限速。
哪些场景适合用动态二级域名
不是所有项目都适合上这套方案,适合的场景包括：
- 多租户SaaS系统，每个租户一个独立子域
- 用户个人主页，如
username.blog.com分发平台的频道或专栏 - 电商系统的商家店铺
不适合的场景是子域数量固定且很少，比如就一个admin.example.com，那直接配普通A记录就行，完全没必要上泛解析和通配符证书,成本和复杂度都不划算。
Q&A常见问题解答
问：Java动态二级域名怎么做本地调试？
本地调试分两步，第一步改hosts文件，把test1.example.com和test2.example.com指向0.0.1，第二步在Nginx或直接用IDE启动Java服务，访问http://test1.example.com:8080即可，如果前端页面还需要HTTPS环境，用mkcert生成本地信任的证书，Nginx里配置443端口,内部转发到Java的HTTP端口。
问：泛解析后所有二级域名都指向服务器，会不会有安全风险？
存在风险，主要是DNS Rebinding攻击和子域接管风险，子域接管指的是泛解析的子域指向的服务器IP被释放后，攻击者重新绑定这个IP并部署恶意内容，导致原域名的Cookie被窃取，缓解措施是定期审查DNS记录，及时清理无效子域引用；在Java后端严格校验Host头的合法性，只处理预期格式的子域,其余直接返回403或丢弃连接。
问：动态二级域名的HTTPS证书能用免费的吗？
能用，Let’s Encrypt提供免费通配符证书，通过DNS验证签发，有效期90天，支持自动续期，简米云、酷番云也提供免费的单域名证书，但通配符证书通常收费，如果子域数量不多，可以只给主站和少数几个常用子域签单域名证书，其他子域走HTTP，但这在现代浏览器里会显示不安全标识,用户体验大打折扣。
问：Java里怎么同时支持动态二级域名和固定子域？
固定子域走独立的解析记录，动态子域走泛解析，两者不冲突，代码层面先用固定子域列表做精确匹配，匹配不到再走动态子域逻辑，Nginx里可以写两个server块，一个精确匹配固定子域，一个通配匹配动态子域，优先级上Nginx会先匹配精确的server_name,所以固定子域的配置放在前面即可。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/634032.html
