nginx实现双向tls认证需启用ssl_verify_client并配置可信ca证书链，配合服务端证书、验证深度及客户端证书分发与校验。
在 Nginx 中实现基于证书的强认证（即客户端证书双向 TLS 认证），核心是启用 ssl_verify_client 并配合受信任的 CA 证书链校验客户端证书。这不是单纯“加个配置”就能生效，需前后端协同、证书生命周期管理到位，否则容易出现 400 错误或连接被静默拒绝。
配置 Nginx 启用双向 TLS
确保 Nginx 编译时启用了 OpenSSL 支持（默认通常开启）。关键配置项如下：
-
指定服务端证书与私钥：使用
ssl_certificate和ssl_certificate_key指向你的服务器证书和私钥文件； -
加载可信 CA 证书包：通过
ssl_client_certificate指定一个 PEM 文件，其中包含所有被允许签发客户端证书的根 CA 或中间 CA 证书； -
启用并强制验证客户端证书：设
ssl_verify_client on（或optional用于调试，但生产环境应为on）； -
设置验证深度：用
ssl_verify_depth（如2）限制证书链最大跳数，防路径过长绕过校验。
示例片段：
server {
listen 443 ssl;
ssl_certificate /etc/nginx/ssl/server.crt;
ssl_certificate_key /etc/nginx/ssl/server.key;
ssl_client_certificate /etc/nginx/ssl/trusted-ca-bundle.pem;
ssl_verify_client on;
ssl_verify_depth 2;
<pre class="brush:php;toolbar:false;">location /api/ {
# 可选：将客户端证书信息透传给后端
proxy_set_header X-Client-Verify $ssl_client_verify;
proxy_set_header X-Client-DN $ssl_client_s_dn;
proxy_set_header X-Client-Cert $ssl_client_cert;
proxy_pass https://backend;
}}
准备并分发客户端证书
客户端证书不能随意生成，必须由 Nginx 所信任的 CA 签发：
- 自建 CA 时，用 OpenSSL 创建根 CA 私钥和证书，并用它签发客户端证书（推荐使用
v3_req扩展，含extendedKeyUsage = clientAuth）； - 导出为 PKCS#12（.p12/.pfx）格式供浏览器或 curl 使用，密码保护必不可少；
- 若用企业 PKI（如 Microsoft AD CS），确保其根证书已导入 Nginx 的
trusted-ca-bundle.pem，且所发证书模板启用“客户端身份验证”EKU。
处理常见失败场景
用户访问时返回 400 或空白页，多数因以下原因：
- 浏览器未选择证书 → 需检查是否弹出证书选择框（Chrome/Firefox 默认会，Safari 可能静默失败）；可临时设
ssl_verify_client optional+ 日志确认请求头中是否有$ssl_client_verify； - 证书过期、吊销或不在信任链中 → 用
openssl verify -CAfile trusted-ca-bundle.pem client.crt本地验证； - Nginx 日志无错误但连接中断 → 检查是否漏配
ssl_protocols（建议显式写TLSv1.2 TLSv1.3）或存在 SNI 冲突； - 后端应用需读取证书信息 → 确保
proxy_set_header正确传递，且后端支持解析 PEM 格式或 DN 字段（如 Django 的request.META.get('HTTP_X_CLIENT_DN')）。
增强安全性与运维要点
仅验证证书存在还不够，需结合业务逻辑加固：
- 在 Nginx 层做初步 DN 过滤（如用
map指令匹配$ssl_client_s_dn白名单 OU 或 CN），避免无效证书抵达后端； - 定期轮换 CA 证书，更新
ssl_client_certificate文件后热重载（nginx -s reload）； - 记录客户端证书指纹（
$ssl_client_fingerprint）用于审计，该变量在 Nginx 1.19.4+ 可用； - 禁用不安全的 SSL 选项：关闭
ssl_session_cache共享（防会话劫持）、禁用ssl_prefer_server_ciphers off以启用前向保密。
