SSLVerifyClient无法按域名精准启用双向认证，因TLS握手早于Host头解析；可行方案为统一设optional_no_ca后用Require expr按HTTP_HOST和SSL_CLIENT_VERIFY动态控制，或为站点分配独立IP/端口并直接设require。
sslverifyclient 是 apache mod_ssl 模块中控制客户端证书验证行为的核心指令，必须在 <virtualhost> 或服务器全局上下文中配置，不能放在 .htaccess 里。它的作用是在 tls 握手阶段决定是否要求客户端提供证书——这个阶段早于 http 请求解析，因此无法按域名“精准开关”，但可通过组合策略实现逻辑上的站点级控制。
✅ 正确配置 SSLVerifyClient 的前提
-
mod_ssl已启用（确认LoadModule ssl_module modules/mod_ssl.so未被注释） - 服务端证书已正确配置（
SSLCertificateFile、SSLCertificateKeyFile等） -
CA 证书已加载（用于验证客户端证书）：
SSLCACertificateFile /etc/ssl/private-ca/certs/ca.crt SSLCARevocationFile /etc/ssl/private-ca/crl/ca.crl # 可选，如有吊销列表 SSLVerifyDepth 2 # 推荐设为 2，支持中间 CA
✅ SSLVerifyClient 的三种取值及含义
-
none：不请求也不验证客户端证书（默认值） -
optional：请求客户端证书，但不强制验证通过；若提供则校验，失败也不拒访（调试用） -
require：强制客户端提供且验证通过，否则连接直接中断（返回 HTTP 400 或 TLS alert）
⚠️ 注意：
require一旦启用，所有经该 IP:Port 进来的 HTTPS 请求都会触发验证，与 SNI 域名无关。
✅ 实现“仅某站点启用双向认证”的实用方案
由于 TLS 层无法区分域名，推荐以下两种落地方式：
方案一：统一设 optional_no_ca + 运行时校验（推荐）
<VirtualHost *:443>
ServerName example.com
SSLEngine on
# …… 其他证书配置 ……
# 只收证书，不校验 CA（避免因 CA 配置问题阻断所有流量）
SSLVerifyClient optional_no_ca
SSLVerifyDepth 1
<Location "/">
# 仅对 api.example.com 强制验证证书有效性与 CN 匹配
Require expr %{HTTP_HOST} != 'api.example.com' || \
(%{SSL_CLIENT_VERIFY} == 'SUCCESS' && \
%{SSL_CLIENT_S_DN_CN} =~ /^trusted-client-[0-9]+$/)
</Location>
</VirtualHost>-
optional_no_ca：让客户端能交证书，但不因 CA 不匹配而失败 -
Require expr在 HTTP 层做判断：非目标域名放行；是目标域名则检查证书是否有效且 CN 符合规则 - 若验证失败，返回
403 Forbidden
方案二：为双向站点分配独立 IP 或端口（最干净）
# 给双向认证站点单独绑定 IP <VirtualHost 192.168.1.100:443> ServerName api.example.com SSLEngine on SSLCertificateFile /etc/ssl/private-ca/certs/svn-server.crt SSLCertificateKeyFile /etc/ssl/private-ca/private/svn-server.key SSLCACertificateFile /etc/ssl/private-ca/certs/ca.crt SSLVerifyClient require SSLVerifyDepth 2 # 后续可配合 SSLUserName 指定用户映射 SSLUserName SSL_CLIENT_S_DN_CN </VirtualHost>
- 所有发往
192.168.1.100:443的连接都走双向认证，语义清晰、无歧义 - 适合运维可控环境（如内网、云主机固定 IP）
✅ 补充关键点
- 客户端证书必须由你配置的
SSLCACertificateFile所指 CA 签发（公有 CA 如 Let’s Encrypt 不签发客户端证书，必须自建私有 CA） - 浏览器访问时，会弹出证书选择框；命令行工具（如 curl）需显式指定：
curl --cert client.crt --key client.key --cacert ca.crt https://api.example.com
- 验证失败常见原因：
- 客户端证书过期或被吊销
-
SSLCACertificateFile路径错误或权限不足（Apache 进程需可读） -
SSLVerifyDepth设置过小，无法验证带中间 CA 的证书链
不复杂但容易忽略
