nginx 实现 https 双向认证需构建私有 ca 体系、在 server 块中配置 listen 443 ssl、ssl_certificate、ssl_certificate_key、ssl_client_certificate 和 ssl_verify_client on，并透传 x-client-verify 等头至后端，后端须二次校验；标准版不支持 upstream mtls。
要在 Nginx 上实现 HTTPS 双向认证（mTLS），核心是让服务端不仅出示自己的证书，还强制要求并验证客户端提供的证书。这不是加一行配置就能生效的事，而是一套包含证书体系、Nginx 配置和后端协同的完整流程。
准备可信的 CA 与证书链
不能用自签名客户端证书直接上线，必须建立可控的私有 CA：
- 用 OpenSSL 或 Vault 创建根 CA 私钥（ca.key）和自签名证书（ca.crt），有效期建议 10 年
- 为 Nginx 生成服务端密钥和 CSR，用该 CA 签发 server.crt，务必包含 SAN（如 DNS:api.example.com）
- 为每个合法客户端（如合作系统、IoT 设备）单独签发客户端证书（client.crt），CN 或 OU 字段需具业务唯一性（如 CN=partner-pay-prod）
- 把 ca.crt、server.crt、server.key 放到 Nginx 可读路径（如 /etc/nginx/ssl/），权限设为 600
在 server 块中启用强制校验
这四条指令必须同时出现在同一个 server 块内，缺一不可：
- listen 443 ssl http2; —— 启用 HTTPS 监听
- ssl_certificate /etc/nginx/ssl/server.crt; 和 ssl_certificate_key /etc/nginx/ssl/server.key; —— Nginx 自身身份凭证
- ssl_client_certificate /etc/nginx/ssl/ca.crt; —— 指向签发客户端证书的 CA 公钥（PEM 格式，不含私钥）
- ssl_verify_client on; —— 强制校验；设为 optional 仅用于调试，生产环境禁用
若客户端证书由中间 CA 签发，还需设置 ssl_verify_depth 2 或更高，否则验证会失败（提示 unable to get issuer certificate）。
透传证书信息给后端服务
Nginx 完成 TLS 层校验后，不会自动把证书内容转发给后端，需手动透传关键字段：
- proxy_set_header X-Client-Verify $ssl_client_verify; —— 值为 SUCCESS 或 FAILED，供后端快速判断
- proxy_set_header X-Client-DN $ssl_client_s_dn; —— 提取 CN、OU 等主体信息，用于白名单比对
- proxy_set_header X-Client-Cert $ssl_client_cert; —— Base64 编码的完整证书，支持后端做指纹校验或存档
这些 proxy_set_header 应放在 location 块中，并确保 proxy_pass 已正确指向后端。
后端必须做应用层二次校验
Nginx 只负责 TLS 层验证，业务逻辑仍需确认身份真实性：
- 从 X-Client-DN 提取 CN 或 OU，比对预置白名单（如只允许 CN=bank-a-prod）
- 检查证书有效期（Not Before / Not After），避免因系统时钟偏差导致误判
- 计算证书 DER 编码的 SHA256 指纹，与注册备案指纹比对，防止证书被复用
- 对未提供证书、DN 不匹配、已吊销或过期的请求，返回明确错误（如 403 Forbidden）
注意：标准 Nginx 不支持向上游服务发起 mTLS（即不支持 upstream mTLS），若后端也要求客户端证书，需改用 Envoy、HAProxy 或在内网走 HTTP + 可信请求头方案。
