SSLVerifyDepth控制Apache作为HTTPS服务器校验客户端证书链的最大中间CA层数，须配合SSLVerifyClient require和SSLCACertificateFile使用；默认值1仅支持根CA直签，企业多级PKI需设为2或3，过低拒合法链、过高增信任风险。
SSLVerifyDepth 控制 Apache 作为 HTTPS 服务器时，校验客户端证书链的最大中间 CA 层数，用于防范因证书链过长或不可信中间节点引入的欺骗风险。它不作用于反向代理场景（那是 SSLProxyVerifyDepth 的职责），而是用在双向 TLS 认证中，确保客户端提供的证书链可信、可控、不过度延伸。
SSLVerifyDepth 的作用位置和前提条件
该指令仅在启用客户端证书验证的 HTTPS 虚拟主机中生效，且必须配合以下配置才能起作用：
-
SSLVerifyClient require：强制要求客户端提供并验证证书（设为optional或none时，SSLVerifyDepth 不触发） -
SSLCACertificateFile或SSLCACertificatePath：明确指定受信任的根 CA 和必要中间 CA 证书（不能依赖系统默认信任库） - 虚拟主机已启用 SSL（
SSLEngine on）且监听 HTTPS 端口（如 443）
取值逻辑与安全建议
SSLVerifyDepth 的数值表示「从客户端证书向上追溯时，最多允许几级中间 CA」，不含客户端证书本身，也不含最终根 CA（根必须在信任库中）：
- 0：只接受自签名客户端证书（极少见，仅测试用）
- 1（默认值）：客户端证书必须由根 CA 直接签发；若实际链为「客户端 → 中间CA → 根CA」，则校验失败
- 2：支持一级中间 CA，覆盖大多数合规私有 PKI 或 Let’s Encrypt 客户端证书链
- 3：适用于深度嵌套的企业内网 PKI（如根 → 分区 CA → 部门 CA → 用户证书），但应避免无限制设高
设得过低会拒绝合法客户端；设得过高（如 5+）可能让攻击者通过构造超长但部分可信的链绕过策略，增加中间人风险。
典型配置示例（双向认证路径）
以下配置放在
SSLEngine on
SSLCertificateFile /etc/ssl/certs/server.crt
SSLCertificateKeyFile /etc/ssl/private/server.key
SSLCACertificateFile /etc/ssl/certs/ca-bundle.pem
SSLVerifyClient require
SSLVerifyDepth 2
# 后续可接 Require 指令做细粒度授权
Require ssl-verify-client
调试与常见问题
若客户端连接被拒但无明确提示，检查错误日志（如 /var/log/apache2/error.log）中是否出现：
-
unable to get local issuer certificate：信任链断裂，可能是中间 CA 缺失或 SSLVerifyDepth 不足 -
certificate chain too long：实际链层级超过 SSLVerifyDepth 设置值 -
SSL client certificate chain is not trusted：根 CA 或中间 CA 未正确加载到 SSLCACertificateFile 中
注意：SSLVerifyDepth 对单向 HTTPS（仅服务端证书）无影响；它只在双向认证流程中参与客户端证书链的深度裁剪与信任锚定。
