核心是Nginx终止mTLS并透传验证结果与可信身份信息：需配置ssl_verify_client on、ssl_client_certificate、服务端证书，并用proxy_set_header传递X-Client-Verify、X-Client-DN等安全头，Python后端仅在X-Client-Verify为SUCCESS时处理请求。
要在 Nginx 代理 Python 应用时透传客户端真实证书，核心不是“转发原始证书”，而是由 Nginx 完成双向 TLS（mTLS）校验后，把验证结果和可信身份信息以 HTTP Header 形式安全传递给后端 Python 服务。Python 本身不参与 TLS 握手，必须依赖 Nginx 终止并解析证书。
前提：Nginx 必须启用并成功校验客户端证书
只有校验通过，Nginx 才能生成相关变量。缺一不可：
-
强制开启校验：在 server 或 location 块中写
ssl_verify_client on; -
指定可信 CA：用
ssl_client_certificate /path/to/ca-bundle.pem;（注意是 PEM 格式公钥链，权限应为 644） -
服务端证书已配置：
ssl_certificate和ssl_certificate_key正确指向 Nginx 自身的证书与私钥 -
Nginx 版本 ≥ 1.19.7：确保支持
$ssl_client_escaped_cert等安全变量
关键：用安全方式透传证书元数据（非原始 PEM）
直接透传 $ssl_client_cert 会导致换行符破坏 HTTP Header。推荐组合使用以下 header：
-
proxy_set_header X-Client-Verify $ssl_client_verify;—— 后端第一道判断依据，值为 SUCCESS、FAILED 或 NONE -
proxy_set_header X-Client-DN $ssl_client_s_dn;—— 已自动转义的主题名，如CN=alice,OU=dev,O=acme -
proxy_set_header X-Client-CN $ssl_client_s_dn_cn;—— 仅提取 CN 字段，轻量且无格式风险 -
proxy_set_header X-Client-Fingerprint $ssl_client_fingerprint;—— SHA-256 指纹，可用于白名单比对（需 Nginx ≥ 1.19.0）
Python 后端如何安全使用这些信息
不要信任任意请求头。必须结合网络层限制和逻辑校验：
立即学习“Python免费学习笔记（深入）”；
- 确认 Nginx 仅允许来自内网或可信网段（如
127.0.0.1、10.0.0.0/8）的流量访问 Python 服务，防止绕过 Nginx 直连 - FastAPI/Flask 中读取 header 示例：
verify = request.headers.get("X-Client-Verify")dn = request.headers.get("X-Client-DN")fingerprint = request.headers.get("X-Client-Fingerprint") - 只在
X-Client-Verify == "SUCCESS"时才继续处理；否则返回 401 - 如需强绑定，可将指纹或 CN 预先注册到数据库，后端做精确匹配
避坑要点
这些常见错误会让整个 mTLS 流程失效：
- 在未启用
ssl_verify_client on的情况下引用$ssl_client_s_dn—— 变量为空，后端收不到任何值 - 把 CA 文件路径写错、权限设为 600、或文件里混入私钥/空行 —— 校验静默失败，日志无报错
- 用
$ssl_client_cert直接赋值给 header —— 请求会被截断或后端解析异常 - 未限制 Nginx 到 Python 的通信范围 —— 攻击者可伪造 header 绕过认证
