开源 nginx 不支持上游双向 ssl 认证（mtls），proxy_ssl_certificate 等指令在 1.20–1.24 版本中实际不发送客户端证书；仅 nginx plus 支持完整 mtls 上游认证。
Nginx 使用 proxy_pass 转发请求到后端时，无法通过开源版本原生实现上游（upstream）的双向 SSL 认证（mTLS）。也就是说：Nginx 可以要求客户端（如浏览器或 API 调用方）提供证书并完成双向认证，但当它作为客户端去连接后端 HTTPS 服务时，默认不会向上游出示自己的客户端证书——这是关键限制。
真正安全的“转发时双向认证”，必须满足：
✅ Nginx 向后端发起 TLS 连接时携带有效客户端证书
✅ 后端强制校验该证书（签名、有效期、CA 信任链）
✅ Nginx 同时校验后端返回的服务器证书是否可信
而这个能力，仅在 Nginx Plus（商业版）中完整支持；开源 Nginx 即使配置了 proxy_ssl_certificate 等指令，在多数稳定版本（如 1.20–1.24）中实际不发送客户端证书，导致后端收不到、直接拒绝连接。
一、开源 Nginx 实际能做的安全转发方案（推荐）
如果你坚持用开源 Nginx 做反向代理，可组合以下配置，达到接近 mTLS 的安全强度：
-
严格校验后端服务器证书
proxy_ssl_verify on; proxy_ssl_trusted_certificate /etc/nginx/ssl/upstream-ca.pem; # 仅含根/中间 CA，PEM 格式，无空行 proxy_ssl_verify_depth 3;
-
显式指定 SNI 和目标主机名（避免证书 SAN 不匹配）
CPA Update - Secure CLI Proxy API Maintenance下载安全更新和维护 CLI Proxy API（CPA）部署与配置。用于 CPA 镜像升级、配置变更、认证目录兼容修复、上线验证与回滚。适用于用户提到“CPA 更新/升级/配置改了/容器重建/回滚”等场景。
proxy_ssl_name "api.internal"; # 必须与后端证书的 SAN 或 CN 一致 proxy_ssl_server_name on;
-
限定强 TLS 协议与加密套件
proxy_ssl_protocols TLSv1.2 TLSv1.3; proxy_ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256;
-
内网降级 + 证书透传（更实用的替代路径）
若后端在可信内网，可关闭其 TLS，改用 HTTP + IP 白名单，并由 Nginx 将原始客户端证书信息透传：proxy_set_header X-Client-Verify $ssl_client_verify; proxy_set_header X-Client-DN $ssl_client_s_dn; proxy_set_header X-Client-Cert $ssl_client_cert; # Base64 编码的 PEM 内容
后端自行解析
$ssl_client_cert并做证书校验，把身份认证逻辑下沉，绕过 Nginx 上游限制。
二、真正支持上游 mTLS 的生产级替代方案
若后端强依赖双向认证（如金融、OAuth 2.0 MTLS 场景），建议分层架构：
-
用 Envoy 或 HAProxy 替代 Nginx 承担上游 mTLS
- Nginx 仍做最外层 HTTPS 终止（校验客户端证书）
- Envoy 接收 Nginx 的 HTTP 流量，再以 mTLS 方式转发给后端（支持证书轮换、SNI 路由、健康检查）
- 配置简洁、生态成熟、云原生友好
OpenResty + Lua SSL 扩展（高阶定制）
利用lua_ssl_trusted_certificate和 OpenSSL API，在rewrite_by_lua_block中构造带证书的 upstream 请求。但需较强开发能力，不适合中小团队。
三、常见错误与避坑提醒
- ❌ 把
ssl_client_certificate（用于校验客户端）误配成proxy_ssl_trusted_certificate（用于校验后端） - ❌
proxy_ssl_certificate和proxy_ssl_certificate_key在开源版中形同虚设，不要依赖它实现上游双向认证 - ❌ CA 文件混入私钥、BOM 字符或 DOS 换行（
\r\n），导致unable to load certificate错误 - ❌ 后端未开启客户端证书强制校验（如 Nginx 后端需配
ssl_verify_client on，Spring Boot 需配server.ssl.client-auth=need）
不复杂但容易忽略。
