必须配置双向认证（mTLS）并设置SSLVerifyClient require、SSLCACertificateFile/Path，再在中启用SSLOptions +StdEnvVars +ExportCertData，PHP通过$_SERVER['SSL_CLIENT_CERT']读取PEM证书。

要在 Apache 中启用 SSLOptions +ExportCertData，让后端（如 PHP、CGI 或代理应用）能通过环境变量 SSL_CLIENT_CERT 读取客户端证书的 PEM 内容，关键不是“开启就行”，而是必须满足双向认证（mTLS）前提，并配合正确的 SSL 指令链。单独加这一项不会生效，还可能被忽略。

确认已启用客户端证书验证

+ExportCertData 只在客户端实际提供了有效证书时才注入环境变量。所以必须先配置强制验签：

• 设置 SSLVerifyClient require（或 optional，但 require 更可靠）
• 指定受信任的 CA 证书：用 SSLCACertificateFile 或 SSLCACertificatePath
• 确保客户端访问时确实携带了由该 CA 签发的证书（浏览器或 curl 需显式指定）

在正确的上下文中设置 SSLOptions

该指令需放在启用了 SSL 的虚拟主机内，且位置要合理：

SSL Certificate Monitor

检查一个或多个域名的 SSL/TLS 证书到期时间、颁发者、协议及 SAN 信息，用于应要求检查证书、监控到期或验证 HTTPS 等场景。

下载

• 写在 块中，紧邻 SSLEngine on 之后较稳妥
• 推荐写法：SSLOptions +StdEnvVars +ExportCertData（+StdEnvVars 通常需要一并开启，否则部分基础变量缺失）
• 避免写在 或 里——它不支持嵌套作用域继承，只对当前虚拟主机生效

后端如何读取证书内容

PHP 示例（其他语言类似，查对应环境变量 API）：

• $_SERVER['SSL_CLIENT_CERT'] 直接返回完整 PEM 字符串（含 -----BEGIN CERTIFICATE----- 头尾）
• 注意：该变量仅在 TLS 握手成功且客户端证书被接受后存在；若为空，说明未触发验证或验证失败
• 调试建议：临时加一段 PHP 输出所有 SSL_* 变量，确认 SSL_CLIENT_VERIFY 为 SUCCESS，再看 SSL_CLIENT_CERT

常见失效原因

即使配置语法正确，也可能拿不到证书数据：

• 浏览器未发送客户端证书（现代 Chrome/Firefox 默认隐藏该选项，需手动选择或用 curl 测试：curl --cert client.crt --key client.key https://yoursite.com）
• CA 证书路径错误或格式非法（PEM 编码，无 BOM，结尾有换行）
• Apache 版本过低或 OpenSSL 不支持（2.4.8+ 和 OpenSSL 1.0.2+ 均支持，但需确认 mod_ssl 已加载）
• 使用了 SSLProxyEngine 场景——+ExportCertData 对反向代理后端无效，它只影响 Apache 自身 CGI/PHP 环境