Apache不透传客户端证书二进制内容，但可提取DN、序列号等关键信息为HTTP头（如X-Client-DN）转发给后端；需启用mod_ssl、mod_proxy、mod_headers模块，在HTTPS虚拟主机中配置SSLVerifyClient require，并用RequestHeader set指令注入证书字段，再通过反向代理透传至Tomcat或Spring Boot。
Apache 本身不直接“透传”客户端证书到后端（比如 Tomcat 或 Spring Boot），因为 TLS 握手发生在 Apache 和客户端之间，证书验证由 Apache 完成后，原始证书内容就不再以二进制形式向下传递。但你可以把客户端证书的关键信息（如 DN、序列号、指纹等）提取为 HTTP 请求头，再转发给后端服务——这是实际生产中标准且安全的做法。
要实现这一目标，需在 httpd.conf（或虚拟主机配置块内）完成三件事：启用必要模块、开启客户端证书验证、提取并注入证书字段为请求头。
✅ 启用 SSL 和代理相关模块
确保以下模块已加载（检查 httpd.conf 或 mods-enabled/）：
LoadModule ssl_module modules/mod_ssl.so LoadModule proxy_module modules/mod_proxy.so LoadModule proxy_http_module modules/mod_proxy_http.so LoadModule headers_module modules/mod_headers.so
运行 apachectl -M | grep -E "(ssl|proxy|headers)" 验证是否生效。
✅ 在 HTTPS 虚拟主机中启用客户端证书验证
只在 <VirtualHost *:443> 块中配置（HTTP 不支持客户端证书）：
SSLEngine on
SSLProtocol all -SSLv2 -SSLv3 -TLSv1 -TLSv1.1
SSLHonorCipherOrder on
# 指向你的服务器证书和私钥
SSLCertificateFile "${SRVROOT}/conf/ssl/yourdomain.crt"
SSLCertificateKeyFile "${SRVROOT}/conf/ssl/yourdomain.key"
SSLCertificateChainFile "${SRVROOT}/conf/ssl/chain.crt"
# 启用客户端证书验证（可选：optional_no_ca 用于调试，生产建议 require）
SSLVerifyClient require
SSLVerifyDepth 1
# 可选：指定 CA 证书链（若需严格校验客户端身份）
SSLCACertificateFile "${SRVROOT}/conf/ssl/client-ca.crt"⚠️ 注意：
SSLVerifyClient require表示强制客户端提供有效证书；optional会允许无证书访问（但后端无法区分）；optional_no_ca仅解码证书不校验签名，仅限测试。
Apache Superset Dashboard and SQL Exploration Skill下载Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。
✅ 提取证书字段并注入请求头
使用 mod_headers + SSL 环境变量，把证书信息转为标准 HTTP 头（后端 Java 可通过 request.getHeader("X-Client-DN") 获取）：
# 提取客户端证书的可分辨名称（DN）
RequestHeader set X-Client-DN "%{SSL_CLIENT_S_DN}s" env=SSL_CLIENT_S_DN
# 提取证书序列号（十六进制，唯一标识）
RequestHeader set X-Client-SerNo "%{SSL_CLIENT_M_SERIAL}s" env=SSL_CLIENT_M_SERIAL
# 提取证书主题哈希（常用于快速比对）
RequestHeader set X-Client-Subject-Hash "%{SSL_CLIENT_S_DN_HASH}s" env=SSL_CLIENT_S_DN_HASH
# 提取证书指纹（SHA256，更可靠）
RequestHeader set X-Client-Fingerprint "%{SSL_CLIENT_CERT_SHA256_FINGERPRINT}s" env=SSL_CLIENT_CERT_SHA256_FINGERPRINT
# 可选：透传原始 PEM 编码证书（Base64，体积大，慎用）
# RequestHeader set X-Client-Cert "%{SSL_CLIENT_CERT}s" env=SSL_CLIENT_CERT? 提示：这些变量名（如
SSL_CLIENT_S_DN）是 Apache mod_ssl 内置环境变量，无需额外定义，只要客户端证书存在且被成功解析即可使用。
✅ 配置反向代理并透传 Host 和协议
确保后端能正确识别原始请求上下文：
ProxyRequests Off ProxyPreserveHost On # 示例：将 /api 代理到后端 Java 服务 ProxyPass /api http://127.0.0.1:8080/api ProxyPassReverse /api http://127.0.0.1:8080/api # 强制告诉后端当前是 HTTPS 请求（避免重定向出错） RequestHeader set X-Forwarded-Proto "https" env=HTTPS RequestHeader set X-Forwarded-Port "443" env=HTTPS
✅ 后端 Java 应用如何使用这些头？
以 Spring Boot 为例，在 Controller 中可这样获取：
@GetMapping("/api/user")
public String getUser(@RequestHeader(value = "X-Client-DN", required = false) String dn,
@RequestHeader(value = "X-Client-SerNo", required = false) String serial) {
log.info("Client DN: {}, Serial: {}", dn, serial);
return "Hello " + (dn != null ? dn : "anonymous");
}Tomcat 用户还可配置 RemoteIpValve 或自定义 Filter 解析这些头。
不复杂但容易忽略
