必须启用mTLS并配置ssl_verify_client on、ssl_client_certificate指向可信CA，再用$ssl_client_escaped_cert安全透传证书，配合X-Client-Verify、X-Client-DN等头传递校验结果与身份信息。
要在 Nginx 代理 Node.js 应用时透传客户端真实 SSL 证书，必须启用双向 TLS（mTLS），让 Nginx 先完成客户端证书校验，再把验证结果和证书信息安全地转发给后端 Node.js 服务。单纯加几个 proxy_set_header 是无效的，关键在验证前置、变量安全性和后端配合。
启用并确认客户端证书验证
Nginx 不会自动读取或暴露客户端证书，必须显式开启验证且成功通过，相关变量才有值：
- 在
location块中设置ssl_verify_client on;（不可用optional，否则变量可能为空） - 指定可信 CA 证书路径：
ssl_client_certificate /path/to/ca-bundle.crt;（注意是 PEM 格式公钥，权限应为 644） - 确保服务端证书已配置：
ssl_certificate和ssl_certificate_key - 推荐设置
ssl_verify_depth 2;，适配常见中间 CA 链
安全透传证书内容与元数据
直接使用 $ssl_client_cert 会因换行符导致 HTTP 头解析失败，必须改用编码格式，并配套传递状态和身份字段：
- 用
$ssl_client_escaped_cert替代原始证书：proxy_set_header X-Client-Cert-Escaped $ssl_client_escaped_cert;（Nginx ≥ 1.19.7 才支持） - 传递验证结果：
proxy_set_header X-Client-Verify $ssl_client_verify;（值为 SUCCESS/FAILED/NONE） - 传递可读身份：
proxy_set_header X-Client-DN $ssl_client_s_dn;（已自动转义）或更轻量的X-Client-CN $ssl_client_s_dn_cn; - 如需指纹比对，可加：
proxy_set_header X-Client-Fingerprint $ssl_client_fingerprint;（Nginx ≥ 1.19.0）
Node.js 后端接收与解析要点
Node.js 不会自动识别这些头，需在代码中主动读取并解码：
- 对
X-Client-Cert-Escaped使用decodeURIComponent()还原 PEM 内容 - 检查
X-Client-Verify是否为"SUCCESS"，拒绝非 SUCCESS 请求 - 可结合
X-Client-Fingerprint或X-Client-CN做白名单校验 - 若用 Express，确保
app.set('trust proxy', true)已启用，避免 IP 解析异常影响关联逻辑
常见配置陷阱提醒
以下做法会导致透传失效或存在安全隐患：
- 未启用
ssl_verify_client on就引用$ssl_client_cert—— 变量恒为空 - 把 CA 文件路径写错、权限设为 600、或混入私钥/多余空行 —— 校验静默失败
- 在
http或server块顶层写proxy_set_header—— 必须放在具体location块内才生效 - 忽略协议透传：
proxy_set_header X-Forwarded-Proto $scheme;缺失会导致 Node.js 判断 HTTPS 失败
