Nginx 实现 HTTPS 双向鉴权需构建私有 CA 体系、配置强制客户端证书校验并透传证书信息，后端须二次校验身份；其不支持上游 mTLS，替代方案包括内网 HTTP+可信头或改用 Envoy/HAProxy。
要在 Nginx 中实现 HTTPS 双向鉴权（即 mTLS），关键不是只打开某个开关，而是构建一套可信、可控、可审计的证书验证链。Nginx 原生只支持“客户端 → Nginx”方向的双向认证（下游 mTLS），不支持“Nginx → 后端服务”的上游客户端证书转发（标准版无此能力）。以下聚焦可落地的核心配置步骤。
准备可信的私有 CA 与证书体系
不能用自签名证书直接上线，必须建立私有 CA 并严格管理签发流程：
- 用 OpenSSL 或 Vault 创建根 CA 私钥（
ca.key）和自签名根证书（ca.crt），有效期建议 10 年 - 为服务端生成私钥与 CSR，用 CA 签发服务端证书（
server.crt），务必包含 SAN（如DNS:api.example.com） - 为每个合法客户端（如合作方系统）单独签发客户端证书（
client.crt），CN 或 OU 字段需具业务唯一性（如CN=partner-bank-prod） - 将
ca.crt（含完整信任链）、server.crt、server.key部署到 Nginx 服务器指定路径
在 server 块中启用强制客户端证书校验
这是 Nginx 原生支持且必须正确配置的部分：
- 开启 HTTPS 监听：
listen 443 ssl http2; - 指定服务端证书与密钥：
ssl_certificate /etc/nginx/ssl/server.crt;和ssl_certificate_key /etc/nginx/ssl/server.key; - 加载 CA 根证书用于验证客户端：
ssl_client_certificate /etc/nginx/ssl/ca.crt; - 强制要求并校验客户端证书：
ssl_verify_client on;（生产环境禁用optional） - 启用吊销检查（推荐）：
ssl_crl /etc/nginx/ssl/crl.pem;（需定期更新 CRL 文件） - 透传证书信息给后端：
proxy_set_header X-Client-Cert $ssl_client_cert;或更安全的X-Client-DN $ssl_client_s_dn;
后端服务必须做应用层二次校验
Nginx 完成 TLS 层验证后，业务逻辑仍需主动确认身份真实性：
- 从
X-Client-DN提取主体信息（如CN=partner-bank-prod,OU=api），比对预置白名单 - 检查证书 Not Before / Not After 时间，防范系统时钟偏差导致的误判
- 计算证书 DER 编码的 SHA256 指纹，与注册时备案指纹比对，防止 CN 被复用
- 拒绝未携带有效证书、DN 不匹配、已吊销或过期的请求，返回明确错误码（如 403）
注意上游通信的局限与替代方案
若后端（如 Spring Boot 或 gRPC 服务）也要求客户端证书，标准 Nginx 无法满足：
- 它不支持以 TLS 客户端身份向上游发送自己的证书（即不支持 upstream mTLS）
- 可行替代路径：将 TLS 终止在 Nginx，后端改用 HTTP 内网通信，由 Nginx 注入可信头（如
X-Auth-Type: mTLS、X-Client-ID: partner-bank-prod） - 高阶方案可选 Envoy 或 HAProxy 替代 Nginx，或使用 OpenResty + Lua 调用 OpenSSL API（复杂度与维护成本显著上升）
