Ruby on Rails换用Puma：如何实现SSLClientVerify optional等效功能？

Apache的SSLClientVerify optional作用是：要求客户端提供SSL证书，但即使证书验证失败，仍允许连接；后续可通过服务端逻辑判断证书是否有效并做对应处理。Puma基于OpenSSL，确实可以通过puma.rb配置实现等效效果，具体步骤如下：

1. 基础SSL配置与自定义验证回调 #

默认情况下，Puma启用VERIFY_PEER模式时，会拒绝证书验证失败的连接。要实现"optional"逻辑，需要自定义SSL上下文的验证回调，强制允许所有连接，同时保留证书验证的结果供应用层判断：

# puma.rb
# 初始化SSL上下文
ssl_context = OpenSSL::SSL::SSLContext.new
ssl_context.key = OpenSSL::PKey::RSA.new(File.read('/path/to/your/private.key'))
ssl_context.cert = OpenSSL::X509::Certificate.new(File.read('/path/to/your/certificate.crt'))
# 指定用于验证客户端证书的CA根证书/证书链
ssl_context.ca_file = '/path/to/your/ca_bundle.crt'
# 开启PEER验证模式（触发证书请求）
ssl_context.verify_mode = OpenSSL::SSL::VERIFY_PEER
# 设置验证深度
ssl_context.verify_depth = 5

# 自定义验证回调：无论验证是否通过，都返回true允许连接
ssl_context.verify_callback = lambda do |preverify_ok, ssl_store_ctx|
  true
end

# 使用自定义SSL上下文绑定端口
ssl_bind '0.0.0.0', 443, ssl_context: ssl_context

2. 在Rails应用层检查证书状态 #

连接建立后，Rails可以从请求环境中获取证书的验证结果和证书内容，实现业务逻辑判断：

方式1：直接读取请求环境变量 #

# 在控制器或中间件中
def handle_client_cert
  # 获取验证结果：SUCCESS表示证书有效，NONE表示未提供证书，FAILED表示验证失败
  verify_status = request.env['HTTP_X_SSL_CLIENT_VERIFY']
  # 获取证书内容（如果有）
  cert_data = request.env['HTTP_X_SSL_CLIENT_CERT']

  case verify_status
  when 'SUCCESS'
    # 证书有效，执行对应逻辑
  when 'NONE'
    # 客户端未提供证书，执行对应逻辑
  else
    # 证书验证失败，执行对应逻辑
  end
end

方式2：使用Rails内置的SSL证书方法 #

# 在控制器中
def check_client_cert
  # 获取客户端证书对象
  client_cert = request.ssl_client_cert
  # 获取验证状态
  verify_result = request.ssl_client_verify

  if client_cert && verify_result == 'SUCCESS'
    # 处理有效证书的业务逻辑
  else
    # 处理无证书或无效证书的情况
  end
end

注意事项 #

• 确保使用的Puma版本支持自定义SSL上下文（Puma 3.0及以上版本均支持）
• 必须正确配置CA证书路径，否则无法正确识别合法的客户端证书
• 自定义验证回调会允许所有连接，务必在应用层严格校验证书状态，避免安全风险

内容的提问来源于stack exchange，提问作者user2434753