查询域名的 CAA DNS 记录，检查允许哪些证书颁发机构（CA） 为该域名签发普通证书或通配符证书。
通常不会。没有配置 CAA 表示域名没有通过 CAA 指定允许签发证书的 CA。 但对于希望加强证书签发控制的网站，建议配置合适的 CAA 策略。
issue 控制普通证书签发机构；issuewild 专门控制通配符证书。 如果没有 issuewild，CA 通常会根据 issue 策略处理通配符证书。
会。如果子域名没有自己的 CAA 记录，CAA 检查会继续向父域名查找， 直到找到适用记录或查到 DNS 根。