必须配置sslcacertificatefile，否则sslverifyclient require会直接返回500错误；需确保路径正确、文件纯净（仅pem格式ca证书）、权限为600且属主为apache运行用户，并与sslengine on、服务器证书、密钥等指令共存于virtualhost中。

Apache 要实现基于客户端证书的双向认证，核心不是“加个开关”，而是让服务端具备验证客户端身份的能力——这依赖完整的证书信任链配置。只写 SSLVerifyClient require 会直接返回 500 错误，根本看不到证书选择弹窗，因为服务端连握手环境都没准备好。

必须配置 SSLCACertificateFile

这是最容易被忽略、也最致命的一环：

• 路径必须正确且可读：推荐使用绝对路径，例如 C:/phpEnv/Apache/conf/ssl/client-ca.pem（Windows）或 /etc/apache2/ssl/ca-bundle.crt（Linux），避免相对路径因工作目录不同而失效
• 文件内容要纯净：仅包含一个或多个 PEM 格式的 CA 证书（-----BEGIN CERTIFICATE----- 到 -----END CERTIFICATE-----），不能夹杂空行、注释、私钥、乱码或多个 END CERTIFICATE 后的冗余内容
• 权限与属主必须严格：文件权限设为 600，属主必须是 Apache 实际运行用户（如 www、daemon 或 www-data），否则加载失败

基础 SSL 和双向认证指令要成对出现

在 <virtualhost></virtualhost> 块内，以下指令缺一不可：

• SSLEngine on：启用 SSL/TLS
• SSLCertificateFile 和 SSLCertificateKeyFile：指定服务器证书和私钥（单向认证已需，双向仍必需）
• SSLCACertificateFile：指向你准备好的客户端 CA 证书文件（上一步重点）
• SSLVerifyClient require：强制客户端提供并验证证书（optional 或 optional_no_ca 都不满足登录需求）
• SSLVerifyDepth 2（可选但建议）：限制证书链验证深度，匹配你的客户端证书层级（如根 CA → 中间 CA → 客户端证书，则填 2）

确保模块已加载且配置生效

检查 httpd.conf 主配置中以下两行未被注释：

Apache Superset Dashboard and SQL Exploration Skill

Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。

下载

• LoadModule ssl_module modules/mod_ssl.so
• Include conf/extra/httpd-ssl.conf（或你存放虚拟主机 SSL 配置的实际路径）

修改后务必先执行 httpd -t（Windows 下进入 phpEnv\Apache\bin 目录运行）验证语法，再重启 Apache。否则配置错误可能静默失效或导致启动失败。

验证成功后可用的证书变量

配置生效后，客户端证书信息会注入环境变量，可在 Apache 内部或透传给后端使用：

• %{SSL_CLIENT_VERIFY}e：返回 SUCCESS、FAILED 或 NONE
• %{SSL_CLIENT_S_DN}e：客户端证书主题 DN（如 CN=alice,OU=dev,O=company），可用于匹配数据库账号
• %{SSL_CLIENT_I_DN}e：签发者 DN，辅助判断证书来源是否可信

注意：这些变量只有在 SSLVerifyClient require + 正确 SSLCACertificateFile 下才真正可信；用 optional_no_ca 时它们可能为空或可伪造。