SSLUserName指令仅支持固定字符串或预定义变量（如SSL_CLIENT_S_DN_CN），不支持解析、拼接或正则提取；必须配合SSLVerifyClient require和SSLRequireSSL使用，且Apache 2.4.8+才支持。

SSLUserName 指令本身不支持直接映射证书字段

Apache 的 SSLUserName 指令**只接受固定字符串或预定义变量**（如 SSL_CLIENT_S_DN_CN、SSL_CLIENT_S_DN_Email），它本身不做解析、拼接或正则提取。你不能写成 SSLUserName "CN=${SSL_CLIENT_S_DN_CN},OU=dev" 或用正则从 SSL_CLIENT_S_DN 里截取某一段——它只做单值绑定。

必须配合 SSLRequireSSL 和 SSLVerifyClient require 使用

若想让 SSLUserName 生效，两个前提缺一不可：

• SSLVerifyClient require 必须在对应 或 块中启用，否则客户端不发证书，SSL_CLIENT_* 环境变量全为空
• SSLRequireSSL 要开启（通常已默认生效），确保该路径仅走 HTTPS，避免明文传输证书信息
• Apache 2.4+ 还需显式允许环境变量透传给 CGI/PHP：在 中加 SSLOptions +StdEnvVars

常见可用的证书字段变量及其注意点

实际能用于 SSLUserName 的变量来自 OpenSSL 解析后的 DN（Distinguished Name）和扩展字段，但并非所有都默认可用：

SSL Certificate Monitor

检查一个或多个域名的 SSL/TLS 证书到期时间、颁发者、协议及 SAN 信息，用于应要求检查证书、监控到期或验证 HTTPS 等场景。

下载

• SSL_CLIENT_S_DN_CN：最常用，对应证书里的 Common Name，但注意——CA 可能把它设为邮箱、UUID 或完整 DN 字符串，不可盲目信任
• SSL_CLIENT_S_DN_Email：仅当证书明确包含 emailAddress 字段时才非空；自签名或私有 CA 需在生成 CSR 时显式添加
• SSL_CLIENT_S_DN_UID：LDAP 风格常用，需 CA 在签发时嵌入，公网证书极少含此字段
• SSL_CLIENT_I_DN_CN：是**颁发者**（Issuer）的 CN，不是客户端的，别误用
• 所有 SSL_CLIENT_S_DN_* 变量值会自动 URL 编码（空格变 +，特殊字符变 %xx），若后端应用未解码，可能匹配失败

真实部署时最容易踩的坑

即使配置语法全对，仍常因以下原因失败：

• 客户端没带证书：浏览器默认不发送客户端证书，需用户手动选择；curl 要加 --cert client.crt --key client.key
• 证书链不完整：服务端验证失败 → SSL_CLIENT_S_DN_* 全为空 → SSLUserName 绑定到空字符串
• mod_ssl 未加载或版本太老：Apache 2.2 不支持 SSLUserName，必须 2.4.8+；检查 httpd -M | grep ssl 输出是否有 ssl_module (shared)
• SELinux 或文件权限阻断：私钥文件（.key）权限不能大于 600，且 Apache 用户（如 apache 或 www-data）需有读取权限
• VirtualHost 监听冲突：若同时存在 *:80 和 *:443，但 SSLUserName 只写在 *:443 块里，而应用反向代理到 HTTP 端口，变量就丢失了

真正稳定的方案往往绕过 SSLUserName，改用 RequestHeader set X-User "%{SSL_CLIENT_S_DN_CN}e" 透传给后端，由应用层解析校验——毕竟证书字段可信度、格式、编码问题，交给 Web 服务器硬绑定太脆弱。