Fetch 不能直接传数字证书，因为浏览器禁止 JavaScript 访问本地证书文件，且 mTLS 发生在 TLS 握手阶段、早于 fetch 调用；需预先将证书安装到系统/浏览器并配置服务端启用客户端证书验证。
Fetch 本身不直接支持客户端数字证书（如 PKCS#12 或 PEM 格式的 client cert + private key），因为它运行在浏览器环境中，而浏览器**不提供 JavaScript API 让脚本读取、加载或注入客户端证书**。数字证书的使用由浏览器底层 TLS 层控制，需通过操作系统或浏览器配置提前安装并选择，Fetch 无法在代码中“携带”或“指定”证书文件。
为什么 Fetch 不能直接传数字证书
这是出于严格的安全隔离设计：
- 浏览器禁止 JavaScript 访问本地文件系统（包括 .pfx、.pem 等证书文件），防止恶意脚本窃取敏感密钥
- 客户端证书认证（mTLS）发生在 TLS 握手阶段，早于 HTTP 请求（如 fetch）发起，JS 无权干预该过程
- 证书选择由用户或浏览器策略决定（例如弹出证书选择框），无法用代码自动指定
实际可行的 mTLS 请求流程
要让 fetch 请求走客户端证书验证，必须依赖浏览器已配置好的环境：
- 前提：证书已安装到浏览器/系统信任库 用户需将客户端证书（含私钥）导入操作系统或浏览器（如 Chrome 的“管理证书 → 个人 → 导入”）
- 服务端要求客户端证书 后端（如 Nginx、Spring Boot、Express + HTTPS）需配置为 requestClientCertificate 或 require: true
- 发起普通 fetch 请求 浏览器自动在 TLS 握手时协商并发送匹配的客户端证书（若存在且可信）
-
无需额外代码
下面就是标准写法，证书由浏览器自动处理：
fetch('https://api.example.com/data', { method: 'GET', credentials: 'include' // 必须包含 cookie 和证书上下文（若启用了凭据） });
常见问题与注意事项
即使证书已安装，请求仍可能失败，注意以下几点：
Alibabacloud Sdk Client Initialization For Java
下载
在 Java 中初始化和管理阿里云 SDK客户端。包括单例模式、线程安全、endpoint 与 region 配置、VPC 终端节点、同步与异步等。
立即学习“Java免费学习笔记（深入）”；
- credentials: 'include' 是必需的 —— 否则浏览器可能跳过证书协商（尤其在跨域时）
- 目标域名必须与证书 Subject 或 SAN 匹配 —— 不匹配会导致握手失败，fetch 报错 NetworkError 或 TypeError
- HTTP/2 可能影响证书提示行为 —— 某些浏览器在 HTTP/2 下不会弹出证书选择框，需提前设为默认证书
-
开发调试建议：用 curl 验证服务端是否正常工作：
curl --cert client.crt --key client.key https://api.example.com/data
Node.js 环境下可编程使用证书（非浏览器）
如果你实际是在 Node.js（如 Electron 主进程、或服务端）中使用 fetch（如 node-fetch 或 undici），那可以显式指定证书：
- 使用 undici（推荐）：
import { fetch } from 'undici'; await fetch('https://api.example.com/data', { dispatcher: new Agent({ tls: { cert: fs.readFileSync('client.crt'), key: fs.readFileSync('client.key'), ca: fs.readFileSync('ca.crt') // 可选，用于验证服务端 } }) }); - 或用原生 https.Agent 配合 node-fetch v3+（需手动传 agent）
浏览器中无法绕过安全限制让 JS 加载和提交证书；真正可控的 mTLS 发起，只存在于服务端或 Electron 渲染进程配合主进程代理的场景。前端只需确保环境就绪，然后像调普通 HTTPS 接口一样使用 fetch。
