SSLUserName SSL_CLIENT_S_DN_CN可直接导出证书CN作为用户名，但必须启用SSLVerifyClient require、SSLCACertificateFile、SSLRequireSSL及SSLOptions +StdEnvVars，且CN值已URL编码需后端解码。
直接用 SSLUserName SSL_CLIENT_S_DN_CN 即可导出证书的公用名（CN）作为用户名，但必须满足几个硬性前提，否则该变量始终为空或不生效。
必须启用客户端证书验证
SSLUserName 只在客户端真实提交并成功通过校验的证书上下文中才有值。配置中必须包含：
-
SSLVerifyClient require：强制要求客户端提供有效证书，不可设为
optional或省略 -
SSLCACertificateFile 或 SSLCACertificatePath：指定你信任的根 CA 证书路径，否则证书验签失败 → 所有
SSL_CLIENT_*变量为空 - SSLRequireSSL：确保该虚拟主机仅响应 HTTPS 请求，避免 HTTP 下误用
需显式透传环境变量给后端
即使证书验证成功，PHP、CGI 或代理后端默认也收不到 SSL_CLIENT_S_DN_CN。必须在对应作用域添加：
-
SSLOptions +StdEnvVars：放在
<VirtualHost>或<Directory>块内，让 Apache 将标准 SSL 环境变量注入请求上下文 - 若使用 PHP，可通过
$_SERVER['SSL_CLIENT_S_DN_CN']直接读取；若经反向代理（如转发给 Tomcat），还需额外用RequestHeader set显式透传
注意 CN 字段的实际内容和编码
SSL_CLIENT_S_DN_CN 的值来自证书 Subject 中的 CN 字段，但要注意：
- 它可能是邮箱（如
user@domain.com）、UUID、FQDN，也可能是完整 DN 字符串（取决于 CA 签发策略），不能默认等同于“登录账号” - 值会自动 URL 编码：空格变
+，特殊字符变%xx，后端读取时需解码（如 PHP 用urldecode()） - 不要尝试拼接或截取，
SSLUserName不支持表达式，写成SSLUserName "CN=${SSL_CLIENT_S_DN_CN}"会报错或绑定空字符串
验证是否生效的快速方法
部署后别只看配置语法，重点检查运行时状态：
- 用
curl -v --cert client.crt --key client.key https://yoursite/测试，确认握手返回200且无SSL certificate problem - 在 PHP 脚本中输出
print_r($_SERVER);，查找SSL_CLIENT_S_DN_CN和SSL_CLIENT_VERIFY（应为SUCCESS） - 查 Apache 错误日志，过滤
ssl:warn或ssl:error，常见报错如unable to get local issuer certificate表示 CA 文件路径错或内容不匹配
