基于NodeJS的网站智能卡mTLS认证失败，求排查原因

我在Node.js网站上实现智能卡登录，用自建CA生成客户端证书。证书导入PC本地证书存储时认证正常，但导入V3智能卡后出现异常：

• 浏览器能正常获取到智能卡上的证书
• 加载页面输入PIN码过程中，TLS通信多次触发致命错误，之后会以ClientHello重启通信，错误日志如下：

Received Record
Header:
  Version = TLS 1.2 (0x303)
  Content Type = ChangeCipherSpec (20)
  Length = 1
Received Record
Header:
  Version = TLS 1.2 (0x303)
  Content Type = ApplicationData (23)
  Length = 25
  Inner Content Type = Handshake (22)
    Certificate, Length=4
      context (len=0): 
      certificate_list, length=0

Sent Record
Header:
  Version = TLS 1.2 (0x303)
  Content Type = ApplicationData (23)
  Length = 19
  Inner Content Type = Alert (21)
    Level=fatal(2), description=unknown(116)

• TLS日志最终显示用户证书和颁发者证书已发送至服务器：

Inner Content Type = Handshake (22)
Certificate

• 但紧接着客户端发送了Level=fatal(2), description=handshake failure(40)的告警

本地用openssl命令测试证书完全正常：

openssl s_client -connect website.com:443 -prexit -cert usercert.pem -key userkey.pem -CAfile fullchain.pem -pass pass:12345

请问为何客户端发送证书后立即触发握手失败？

排查方向 #

1. 智能卡证书链完整性：openssl测试正常不代表智能卡上存储了完整证书链，若仅存用户证书、缺少中间CA/根CA证书，浏览器发送的证书链不完整会导致服务器验证失败，触发客户端握手失败。
2. 驱动与浏览器兼容性：V3智能卡驱动可能对TLS 1.2握手流程支持不完善，或浏览器（如Chrome/Firefox）对智能卡的PIN验证、证书选择逻辑存在兼容问题，可尝试更换浏览器或更新驱动测试。
3. Node.js服务器配置问题：检查服务器TLS配置，确认是否正确设置requestCert: true、rejectUnauthorized: true，且已加载自建CA根证书。若服务器验证客户端证书时出错，会中断握手，客户端收到错误后触发告警。
4. 证书扩展字段缺失：智能卡证书可能缺少TLS客户端认证必需的扩展（如Extended Key Usage中的TLS Web Client Authentication），openssl测试不校验该字段，但浏览器和服务器会严格校验，可通过以下命令检查：

openssl x509 -in usercert.pem -text -noout | grep -A 5 "Extended Key Usage"

5. 加密套件兼容性：智能卡可能不支持服务器选定的加密套件，导致发送证书后无法完成密钥交换。查看服务器加密套件配置，确保包含智能卡支持的RSA/ECDSA类套件。

内容的提问来源于stack exchange，提问作者chladnefazole