Windows WebDAV客户端证书认证问题排查求助

核心问题分析 #

Windows自带的Microsoft-WebDAV-MiniRedir客户端对客户端证书的处理逻辑与浏览器（如Firefox）存在差异，主要体现在证书存储位置、TLS版本兼容性以及WebDAV方法的响应规则上。Nginx日志中的400错误通常是客户端未正确提交证书或证书验证失败，405错误则是OPTIONS方法未被服务器正确允许和响应。

1. 确认客户端证书存储位置 #

Windows映射网络驱动器时，仅读取本地计算机存储中的客户端证书，而非当前用户的证书存储：

• 打开certlm.msc（本地计算机证书管理器），将客户端证书导入到「个人」存储目录下；
• 右键证书→「所有任务」→「管理私钥」，确保当前登录用户拥有该证书私钥的读取权限。

2. 调整Nginx的WebDAV与证书验证配置 #

确保Nginx正确处理WebDAV方法和客户端证书验证，示例配置如下：

server {
    listen 443 ssl;
    server_name your-webdav-domain;

    ssl_certificate /path/to/server-cert.crt;
    ssl_certificate_key /path/to/server-key.key;

    # 强制客户端提供有效证书
    ssl_verify_client on;
    # 指定签发客户端证书的CA根证书，用于验证证书合法性
    ssl_trusted_certificate /path/to/ca-root.crt;

    # 处理OPTIONS请求，避免405错误
    if ($request_method = OPTIONS) {
        add_header Access-Control-Allow-Origin *;
        add_header Access-Control-Allow-Methods "OPTIONS, PROPFIND, PROPPATCH, MKCOL, PUT, DELETE, COPY, MOVE";
        add_header Access-Control-Allow-Headers "Authorization, Depth";
        return 204;
    }

    location /webdav {
        dav_methods PUT DELETE MKCOL COPY MOVE;
        dav_ext_methods PROPFIND PROPPATCH;
        root /path/to/webdav-storage;
        auth_basic off; # 已通过客户端证书认证，关闭基础认证
        autoindex on;
    }
}

3. 兼容Windows WebDAV的TLS版本 #

Windows MiniRedir对TLSv1.3支持有限，需在Nginx中启用兼容的TLS版本：

ssl_protocols TLSv1.2 TLSv1.3;
ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384;
ssl_prefer_server_ciphers off;

4. 修改Windows注册表强制证书认证 #

若证书存储正确但仍无法识别，修改注册表调整WebDAV客户端行为：

1. 打开regedit，导航至HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\WebClient\Parameters；
2. 添加/修改以下DWORD值：
   • UseBasicAuth：设为0（禁用基础认证，强制使用客户端证书）；
   • SupportLocking：设为0（规避文件锁定相关兼容性问题）；
3. 重启WebClient服务：在命令提示符执行net stop webclient && net start webclient。

5. 正确映射网络驱动器 #

使用标准格式输入WebDAV路径：

• 格式1：\\your-webdav-server@443\webdav（通过SMB格式映射，指定443端口）；
• 格式2：https://your-webdav-server/webdav（部分Windows版本支持直接输入HTTPS路径）。

内容的提问来源于stack exchange，提问作者Roman