Chrome与Edge使用客户端证书时连接重置问题咨询

核心原因 #

Chrome和Edge基于Chromium内核，近年对客户端证书的验证逻辑做了关键调整，是导致该问题的主要原因：

• 证书链完整性校验强化：Chromium 90及以上版本严格要求客户端证书具备完整信任链，若本地用户证书缺少关联的中间CA证书，浏览器会直接终止连接，不会像Firefox那样尝试自动补充链或给出明确提示。
• 证书用途约束收紧：新版Chromium会严格校验证书的Extended Key Usage字段，若证书未标记Client Authentication（OID: 1.3.6.1.5.5.7.3.2）扩展，即便证书能被系统识别，选择后也会触发连接重置。
• TLS版本兼容性差异：部分老旧网站仅支持TLS 1.0/1.1等弱版本，而Chrome/Edge默认已禁用这些版本，但Edge的IE模式会沿用旧的TLS策略，这就解释了IE模式可成功连接的现象。

验证与修复步骤 #

• 检查证书链完整性：打开系统证书管理器，找到目标用户证书，查看「证书路径」标签，确认所有中间CA证书已安装且状态正常。若存在缺失，需手动导入对应中间证书。
• 核对证书用途：查看证书的「详细信息」→「增强型密钥用法」，确认包含「客户端身份验证」条目。若无此条目，需重新申请符合要求的证书。
• 临时调整TLS设置（仅用于排查）：在Chrome/Edge地址栏输入chrome://flags/#legacy-tls-enforced，将该选项设置为Disabled，重启浏览器后尝试连接（不建议长期开启，避免安全风险）。
• 重置浏览器证书缓存：在Chrome/Edge中依次进入「设置」→「隐私和安全」→「安全」→「管理证书」，删除相关用户证书后重新导入。

额外说明 #

Firefox采用独立的证书存储与验证引擎，对证书链的容错性更强，且默认保留了对部分旧TLS版本的支持，因此能正常连接。Edge的IE模式依赖旧版IE的证书处理逻辑，未受Chromium新规则影响，所以可以成功完成证书认证并加载网站。

内容的提问来源于stack exchange，提问作者Felipe Bustamante