Nginx mTLS客户端证书校验失败返回400/495，本质是TLS握手阶段签名、信任链、CA文件三者未严丝合缝：ca.crt须为PEM格式含CA:TRUE的可信根（或中间）证书，客户端证书须由其直接签发（ssl_verify_depth匹配），且ssl_verify_client、ssl_client_certificate等指令须同在启用HTTPS的server块内。
客户端证书被拒不是配置开了就完事，而是签名、路径、链路三者必须严丝合缝。Nginx 返回 400 或 495 错误时，它已经在校验环节直接终止握手，根本没走到后端，所以排查要聚焦 TLS 握手前的证书加载与验证链。
检查 CA 根证书文件是否合规可用
ssl_client_certificate 指向的 ca.crt 必须是标准 PEM 格式，且仅含根 CA（或含一级中间 CA）公钥，不能有空行、BOM、注释或私钥。常见失效原因包括：
- 用文本编辑器“保存为 UTF-8 带 BOM”导致开头多出不可见字节
- 把 fullchain.pem 或 client.crt 误当 ca.crt 使用
- 证书内容被复制粘贴时混入中文标点或换行错位
- 文件权限不对，nginx 工作用户（如 nginx 或 www-data）无法读取
验证方式：openssl x509 -in /path/to/ca.crt -text -noout 能正常输出 Subject 且含 CA:TRUE 字样才算有效。
确认客户端证书由该 CA 直接签发
Nginx 默认只允许一级信任链（ssl_verify_depth 1），即客户端证书必须由 ca.crt 中的 CA 公钥直接签名。不支持“根 CA → 中间 CA → 客户端证书”这种两级结构，除非显式设置 ssl_verify_depth 2 并确保 ca.crt 文件中同时包含根 CA 和中间 CA 的 PEM 块。
生成客户端证书时，务必用同一套 ca.key + ca.crt 签发，签完立即本地验证：openssl verify -CAfile ca.crt client.crt 输出 OK 才算过关。
核对 Nginx 配置位置与指令组合
以下三项必须同时出现在同一个 server 块内，且该 server 必须启用 HTTPS 监听（listen 443 ssl）：
- ssl_certificate 和 ssl_certificate_key：服务端证书与私钥
- ssl_client_certificate：指向 ca.crt 的绝对路径
- ssl_verify_client on（或 optional）
注意：ssl_verify_client 设为 on 时，客户端未提供证书或证书校验失败，Nginx 直接返回 HTTP 400；设为 optional 则继续握手，可通过 $ssl_client_verify 变量在日志或 proxy_set_header 中判断结果。
抓包与日志辅助定位
开启 Nginx error_log 的 debug 级别（需编译时带 --with-debug），能捕获详细握手失败原因，例如：
- "SSL_do_handshake() failed (SSL:) ... certificate verify failed" → 通常是签名或有效期问题
- "no suitable certificate found" → 客户端未发送证书，或证书格式非法（如 DER 未转 PEM）
- "unable to get issuer certificate" → ca.crt 缺失、路径错误，或客户端证书 Issuer 与 ca.crt 中 Subject 不匹配
配合 Wireshark 抓 TLS 握手包，观察 ServerHello 后是否有 Certificate Request，以及客户端是否响应 Certificate 消息，可快速区分是服务端未发起请求，还是客户端未响应。
