| 关键配置 | ssl_client_certificate（CA 链）、ssl_verify_client on/optional |
|---|---|
| 验证内容 | 客户端证书链、有效期、吊销状态（CRL/OCSP 可选） |
| 传递身份 | 校验通过后把主体信息传给后端（如 $ssl_client_s_dn） |
| 注意 | 客户端证书轮换与吊销是运维重点 |
nginx mTLS 配置片段
nginx mTLS 配置片段
ssl_client_certificate /etc/nginx/ca/client-ca.crt;
ssl_verify_client on;
ssl_verify_depth 2;
proxy_set_header X-Client-DN $ssl_client_s_dn;
proxy_set_header X-Client-Verify $ssl_client_verify;使用 ssl_verify_client optional 时后端必须自行判断 $ssl_client_verify，否则未认证请求也可能被放行。