nginx 中不存在 proxy_ssl_verify_client 指令；正确用法是：proxy_ssl_verify 用于验证后端 https 证书，ssl_verify_client 用于要求客户端证书；二者不可混淆。
proxy_ssl_verify_client 并不是 Nginx 的合法指令，Nginx 官方不提供该配置项。你可能混淆了方向或命名：
-
proxy_ssl_verify（✅ 存在）：用于 Nginx 作为反向代理时，校验后端 HTTPS 服务器的证书（即 出站 校验）； -
ssl_verify_client（✅ 存在）：用于 Nginx 作为 TLS 服务端时，强制客户端（如浏览器、API 调用方）提供并验证其证书（即 入站 客户端证书认证，也就是 mTLS）； -
proxy_ssl_verify_client（❌ 不存在）：Nginx 源码、文档及所有稳定版本中均无此指令，配置会直接导致 nginx -t 失败或静默忽略。
✅ 如果你想“强制后端服务器进行证书验证”，实际含义通常是以下两种之一：
1. 你想让 Nginx 验证它所连接的后端 HTTPS 服务的身份（推荐场景）
这是常见安全实践，防止上游被中间人劫持。应使用：
location /api/ {
proxy_pass https://backend.example.com;
# 四要素必须齐全，缺一不可
proxy_ssl_verify on;
proxy_ssl_trusted_certificate /etc/nginx/ssl/upstream-ca.crt;
proxy_ssl_name "backend.example.com";
proxy_ssl_server_name on;
# 建议补充（提升鲁棒性）
proxy_ssl_verify_depth 3;
proxy_ssl_protocols TLSv1.2 TLSv1.3;
proxy_ssl_session_reuse off;
}
⚠️ 注意：
proxy_ssl_name必须与后端证书中的 SAN（Subject Alternative Name）完全一致；若proxy_pass写的是 IP 或变量（如https://$upstream_host），必须显式设置，否则校验失败返回 502。
CPA Update - Secure CLI Proxy API Maintenance下载安全更新和维护 CLI Proxy API（CPA）部署与配置。用于 CPA 镜像升级、配置变更、认证目录兼容修复、上线验证与回滚。适用于用户提到“CPA 更新/升级/配置改了/容器重建/回滚”等场景。
2. 你想让 后端服务器反过来验证 Nginx 的身份（即 Nginx 主动提供客户端证书）
这属于「双向 TLS（mTLS）」中的 出站客户端证书 场景。Nginx 支持，但需用另一组指令：
location /api/ {
proxy_pass https://backend.example.com;
# 向后端出示 Nginx 自己的证书（需后端配置信任该证书的 CA）
proxy_ssl_certificate /etc/nginx/ssl/nginx-client.crt;
proxy_ssl_certificate_key /etc/nginx/ssl/nginx-client.key;
# 后端是否要求客户端证书，由后端策略决定；Nginx 不“强制后端验证”，只“提供证书”
# 若后端配置为 require client cert，且 Nginx 提供了有效证书，则握手成功
}
✅ 此时：
-
proxy_ssl_certificate和proxy_ssl_certificate_key是 Nginx 用来证明自己身份的证书+私钥； - 后端是否校验、如何校验（如是否检查 CN/SAN、是否吊销），完全由后端服务决定；
- Nginx 本身 不控制后端的校验逻辑，也无法通过某条指令“强制后端必须验证”。
❌ 常见误解澄清
| 误解 | 事实 |
|---|---|
“proxy_ssl_verify_client on 可以让后端验证 Nginx” |
语法错误，Nginx 不识别该指令，配置无效 |
| “只要配了 client cert，后端就一定会验证” | 否。后端必须主动开启客户端证书校验（如 Apache 的 SSLVerifyClient require，Spring Boot 的 server.ssl.client-auth=need） |
| “Nginx 能代替后端做证书校验” | 不能。Nginx 只能校验 它连的后端（出站），或要求 连它的客户端（入站），无法越权干预后端的 TLS 策略 |
? 快速验证是否生效
- 查看 Nginx 错误日志：
tail -f /var/log/nginx/error.log，出现SSL_do_handshake() failed或certificate verify failed表示校验已触发； - 用
openssl s_client -connect backend.example.com:443 -CAfile /etc/nginx/ssl/upstream-ca.crt手动测试证书链是否可信； - 临时把
upstream-ca.crt改名或清空，观察是否立即报 502 —— 若是，说明proxy_ssl_verify已真实生效。
不复杂但容易忽略。
