Nginx中基于ssl_client_verify的条件配置实现向后兼容

现状说明 #

目标服务器已配置客户端证书验证基础规则：

ssl_client_certificate /etc/nginx/client-cert/ca.crt;
ssl_verify_client optional;

需兼容两类请求：

• ACME01：发送客户端证书，$ssl_client_verify状态为SUCCESS
• ACME02（旧版本）：不发送客户端证书，$ssl_client_verify状态为NONE

配置实现 #

在目标location指令中添加以下条件判断，仅允许验证成功或未提供证书的请求通过：

location /your-target-path {
    # 过滤掉验证失败（如证书无效、未通过CA验证）的请求
    if ($ssl_client_verify !~ ^(SUCCESS|NONE)$) {
        return 403;
    }

    # 此处保留原有业务配置（如反向代理、静态文件服务等）
    # proxy_pass http://your-backend-service;
    # ...
}

关键说明 #

• $ssl_client_verify是Nginx内置变量，用于存储客户端证书的验证结果
• 正则匹配^(SUCCESS|NONE)$确保仅允许符合要求的两类请求，其他验证失败的请求（如FAILED）会被返回403拒绝
• ssl_verify_client optional的配置保证未发送证书的请求不会被直接拦截，而是返回NONE状态，实现向后兼容

注意事项 #

• 此if条件属于Nginx官方推荐的安全用法，避免了if指令的常见陷阱
• 确保/etc/nginx/client-cert/ca.crt能正确验证ACME01发送的客户端证书，否则ACME01的请求会被判定为FAILED而被拒绝
• 可根据业务需求调整返回状态码，比如用401表示未授权，但403更适合权限拦截场景

内容的提问来源于stack exchange，提问作者Hare Krshn