如何在Apache中配置SSLVerifyClient实现企业级双向认证-Apache-PHP中文网

SSLVerifyClient require 必须配合 SSLCACertificateFile 使用，否则因缺失可信CA列表导致500错误；optional_no_ca跳过CA加载但不校验签名，仅用于调试；企业级双向认证须用require并启用CRL或OCSP吊销检查。

如何在apache中配置sslverifyclient实现企业级双向认证

SSLVerifyClient 为什么必须配合 SSLCACertificateFile 使用

单独设置 SSLVerifyClient require 不会触发双向认证，Apache 会直接返回 500 错误并记录 SSL Library Error: error:140890C7:SSL routines:ssl3_get_client_certificate:peer did not return a certificate。根本原因是服务端没有可信 CA 列表，无法验证客户端证书签名。

必须同时指定 SSLCACertificateFile（或 SSLCACertificatePath），指向包含客户端根证书或中间证书的 PEM 文件。该文件不能是私钥，也不能混入非证书内容（如注释、空行、base64 尾部的 -----END CERTIFICATE----- 之后还有数据）。

推荐用单个 PEM 文件，避免路径扫描开销；多个证书可追加拼接，顺序无关
文件权限需为 600，且属主为运行 Apache 的用户（如 www-data 或 apache）
修改后必须执行 apachectl configtest，否则 reload 可能静默失败

SSLVerifyClient optional_no_ca 和 require 的实际行为差异

SSLVerifyClient optional_no_ca 并不跳过验证，而是跳过「查找并加载 CA 证书」这一步——它仍会接收客户端证书，但不校验签名有效性，只检查格式和有效期。这在调试阶段有用，但绝不能用于生产环境。

SSLVerifyClient require 是唯一满足企业级双向认证要求的选项：客户端必须提供有效证书，且该证书必须能被 SSLCACertificateFile 中的 CA 链成功验证（包括吊销检查，若配置了 OCSP 或 CRL）。

不要用 optional：它允许无证书请求通过，形同未启用双向认证
optional_no_ca 下 %{SSL_CLIENT_S_DN} 等变量可能为空或不可信，不能用于权限判断
企业场景中，所有业务路径都应统一使用 require，并在应用层进一步校验 SSL_CLIENT_I_DN 或扩展字段

如何在 Location 或 Directory 中精细化控制双向认证范围

全局启用 SSLVerifyClient require 会导致静态资源（如 CSS/JS）也强制验签，既增加 TLS 握手延迟，又容易因浏览器不自动发送证书导致 403。正确做法是在具体业务路径下启用：

Location /api/v2/
    SSLVerifyClient require
    SSLRequireSSL
    # 允许特定 OU 或 CN 访问
    SSLRequire %{SSL_CLIENT_S_DN_OU} eq "Engineering" and %{SSL_CLIENT_S_DN_CN} =~ /^svc-.*$/

注意：SSLRequire 已废弃，现代 Apache（2.4.8+）应改用 Require 表达式：

Location /api/v2/
    SSLVerifyClient require
    SSLRequireSSL
    Require expr %{SSL_CLIENT_S_DN_OU} == 'Engineering'
    Require expr %{SSL_CLIENT_S_DN_CN} =~ /^svc-.*$/

避免在 VirtualHost 级别设 SSLVerifyClient，除非所有路径都需要
SSLRequireSSL 必须开启，防止 HTTP 回退绕过证书校验
表达式中的 DN 字段名（如 O, OU, CN）区分大小写，且需与客户端证书实际字段完全一致

客户端证书吊销检查的两个关键配置点

仅验证签名和有效期远远不够。企业环境中必须确认证书未被 CA 吊销，否则攻击者利用泄露私钥仍可登录。Apache 本身不内置 CRL/OCSP 客户端，依赖 OpenSSL 底层能力：

启用 CRL 检查：在 SSLCACertificateFile 同目录下放置 crl.pem，并在配置中添加 SSLCARevocationFile /path/to/crl.pem；还需确保 CRL 文件定期更新（手动或 cron + openssl ca -gencrl）
OCSP 更实时：添加 SSLUseStapling on 并配置 SSLStaplingCache，但要求客户端支持 OCSP Stapling（现代浏览器均支持），且服务端能连通 CA 的 OCSP 响应器
无论选哪种，都需在 SSLCertificateFile 对应的证书中包含 authorityInfoAccess 扩展（即 AIA 字段），否则 OpenSSL 不知道去哪查

漏掉吊销检查，等于把门锁换成了透明玻璃——看着结实，一捅就破。