CAA的issue与issuewild用于控制不同签发范围。没有独立issuewild时，issue通常也影响通配符签发；增加issuewild后应按其专用规则核对通配符授权，不能只看到一条允许CA记录就推断全部申请均被允许。
先列出需要的证书名称
区分普通名称与通配符申请，以及它们由哪家CA和哪个自动化账户处理。根域证书与通配符证书可能出现在同一业务方案，却不一定走完全相同授权条件。不要先改记录，再猜客户实际申请了哪一类。
读取完整适用CAA集合
按CA当前查询规则检查目标名称、上级及别名关系，不只截取某个平台根域面板一行。相同属性的多条记录可能共同表示允许范围，顺序和数量不能凭视觉判断。授权参数如验证方式也可能进一步限制申请。
分别验证issue和issuewild意图
只需相同授权时，不一定需要额外复杂记录；需要不同范围时明确写清各自CA和业务责任。不要为了修普通证书申请，随手删掉组织对通配符更严格的限制。记录修改前集合和预期变化，避免无意扩大所有子域的签发面。
用实际申请结果闭环
在受控测试或相应客户端中核对普通与通配符两类流程，确认允许的成功、不允许的仍受限制。正式签发和部署是后续阶段，CAA查询正常不自动表示证书已经使用。定期清理不再采用的CA授权，但须确认相关续期已迁移。
关键区别
issue：普通签发授权基础；可能影响通配符。
issuewild：专用于通配符规则；出现后按专门范围判断。
申请结果：实际CA验证行为；与部署另行确认。
怎样确认处理到位
普通与通配符签发分别符合组织意图，适用CAA集合可解释，未扩大无关CA权限，续期与部署结果另有回读。
容易误判的边界
普通证书与通配符证书的CAA条件应分别核对；具体属性、参数及查询规则以当前CA官方资料为准。
