Apache中URL级证书授权需三要素：SSLVerifyClient必须置于VirtualHost顶层以确保TLS握手时验证；用Require ssl-verify-client或Require expr在<Location>中实现路径级细粒度控制；SSLOptions +StdEnvVars与完整CA链保障环境变量可信可用。
在 Apache 中用 mod_ssl 实现 URL 级别权限隔离，核心不是靠 SSLVerifyClient 单独控制路径，而是把它作为「准入开关」，再配合 Require 指令做细粒度授权。关键在于：验证必须前置、授权必须分层、变量必须可信。
SSLVerifyClient 必须放在 VirtualHost 顶层
很多人把 SSLVerifyClient require 写在 <Location> 或 <Directory> 块里，结果浏览器不弹证书选择框，或者请求直接返回 403。这是因为客户端证书验证发生在 TLS 握手阶段，早于 HTTP 请求解析。Apache 只认 <VirtualHost> 作用域（或全局 SSL 配置）下的该指令。
- 即使只想保护
/admin/这个路径，也要在<VirtualHost *:443>下写SSLVerifyClient require - 不这么做，服务器根本不会向客户端索要证书，后续所有基于证书的判断都失效
- 若担心静态资源也被强制验签，可通过
SSLVerifyClient optional+ 后续Require组合规避，但需承担无证书请求穿透的风险
用 Require 指令实现 URL 路径级授权
SSLVerifyClient require 只管“有没有证书”，真正决定“能不能访问某路径”的是 Require 系列指令。从 Apache 2.4 开始，推荐用 Require ssl-verify-client 和 Require expr 替代已废弃的 SSLRequire。
- 对整个虚拟主机启用验证后，在特定路径下加
<Location "/admin"> Require ssl-verify-client </Location>，即可只对该路径强制证书 - 进一步限制身份：比如只允许 CN 为
admin@company.com的证书访问，写成Require expr %{SSL_CLIENT_S_DN_CN} == "admin@company.com" - 多个条件可组合：如
Require expr %{SSL_CLIENT_VERIFY} == 'SUCCESS' && %{SSL_CLIENT_S_DN_OU} == "IT-Dept"
确保环境变量可用且可信
Apache 把证书信息注入 CGI 环境变量（如 SSL_CLIENT_S_DN_CN、SSL_CLIENT_VERIFY），但这些变量默认不启用，也不一定完整。
- 必须在
<VirtualHost>中添加SSLOptions +StdEnvVars，否则 PHP/CGI 读不到这些值 - CA 证书链必须完整：用
SSLCACertificateFile指向根 CA 或中间 CA 拼接好的 PEM 文件，权限设为 600，属主为 Apache 运行用户（如www-data） - 若启用 OCSP 或 CRL 吊销检查，需额外配置
SSLCARevocationCheck和对应文件，否则过期或吊销的证书仍可能被接受
调试与常见失败点
双向认证容易卡在握手环节，日志是唯一可靠依据。
- 开启详细日志：
LogLevel ssl:trace5，查看握手全过程，重点关注ssl3_get_client_certificate相关错误 - 典型报错
unable to get local issuer certificate：说明客户端证书的签发者不在 Apache 的SSLCACertificateFile列表中 - 浏览器提示
ssl_error_bad_cert_alert：多数因证书过期、CN 不匹配、或用户没把 client.p12 导入浏览器个人证书库 - PHP 中用
$_SERVER['SSL_CLIENT_S_DN_CN']取不到值：先确认SSLOptions +StdEnvVars已启用，再检查是否启用了SSLStrictSNIVHostCheck干扰了变量注入
