Nginx实现客户端身份强验证的核心是ssl_verify_client on配合ssl_client_certificate、ssl_certificate、ssl_certificate_key及ssl_verify_depth四指令协同生效，缺一不可；必须使用CA公钥（ca.crt）校验客户端证书签名与有效期，且路径级灵活启用可兼顾安全与兼容性。
要让 Nginx 真正验证客户端身份、只放行持有可信证书的调用方，核心就是正确使用 ssl_verify_client 指令，并配合其他必要配置。它不是独立生效的开关，而是一整套 mTLS（双向 TLS）流程的控制点。
必须配齐的四个证书文件
缺一不可，且用途不能混淆：
-
服务端证书（
server.crt）与私钥（server.key）：部署在 Nginx 上，用于向客户端证明自身身份，是 HTTPS 基础； -
CA 证书（
ca.crt）：PEM 格式，仅含公钥，不含私钥；Nginx 用它来验证客户端证书是否由该 CA 签发、签名是否有效、有效期是否合法； -
客户端证书（
client.crt）与私钥（client.key）：分发给合法调用方，用于发起带证书的 TLS 连接；
常见错误：把客户端证书或服务端证书误当成 CA 证书填进 ssl_client_certificate —— 这会导致校验必然失败。
关键配置指令组合
ssl_verify_client on 单独存在没有意义，必须和以下指令协同工作：
-
listen 443 ssl：开启 HTTPS 监听； -
ssl_certificate和ssl_certificate_key：指定服务端证书与私钥； -
ssl_client_certificate /path/to/ca.crt：明确告诉 Nginx 用哪个 CA 公钥去验客户端； -
ssl_verify_depth 2：若客户端证书由中间 CA 签发（如 Root → Intermediate → Client），设为 2 才能完整验证链；
最小可用配置示例：
server {
listen 443 ssl;
server_name api.internal;
ssl_certificate /etc/nginx/ssl/server.crt;
ssl_certificate_key /etc/nginx/ssl/server.key;
ssl_client_certificate /etc/nginx/ssl/ca.crt;
ssl_verify_client on;
ssl_verify_depth 2;
location /v1/sensitive {
proxy_pass http://backend;
proxy_set_header X-Client-Verify $ssl_client_verify;
proxy_set_header X-Client-DN $ssl_client_s_dn;
}
}
按路径灵活启用验证
不必全站强制双向认证。对敏感接口路径（如 /api/v1/admin）启用，普通接口保持单向即可：
- 将
ssl_client_certificate和ssl_verify_client optional移入对应location块； - 后端通过读取
X-Client-Verify请求头判断是否为SUCCESS，再决定是否放行； - 这样既保障关键路径安全，又避免对非证书调用方造成阻断。
验证与排障要点
curl 是最直接的测试方式：
- 成功请求：
curl --cert client.crt --key client.key https://api.internal/v1/sensitive； - 缺少证书或证书无效时，Nginx 默认返回 HTTP 400 或 495 错误；
- 临时开启 debug 日志：
error_log /var/log/nginx/error.log debug;，查看是否有certificate verify failed类提示； - 本地验证客户端证书是否被 CA 信任：
openssl verify -CAfile ca.crt client.crt，输出OK才算通过基础校验。
