Nginx SSL客户端证书配置异常：变量为空且验证失效求助

核心问题总结 #

配置Nginx的/client/Bundle路径要求第三方网站必须提供有效客户端证书才能访问，但遇到两个关键问题：

• PHP中$_SERVER['SSL_CLIENT_CERT']始终为空，无法验证证书是否提交
• Nginx中通过$ssl_client_verify判断证书有效性的配置不生效，未提交证书也能直接访问页面

初始配置的明显错误 #

1. Nginx Location路径写法错误 #

原配置中的location规则写错了：

location mywebsite.nl/client/Bundle {
    fastcgi_pass unix:/var/run/php/php8.1-fpm.sock;
}

location指令不需要包含域名，正确写法应为location /client/Bundle。这个错误直接导致该路径的证书验证逻辑根本不会被触发，所有请求都跳过了证书检查。

2. 缺少FastCGI核心参数 #

原配置里没有设置SCRIPT_FILENAME和include fastcgi_params，PHP-FPM无法正确解析请求，更接收不到Nginx传递的任何SSL相关环境变量，自然拿不到SSL_CLIENT_CERT。

后续尝试配置的隐藏问题 #

后来的location配置虽然路径写法正确，但存在参数覆盖问题：

location /client/Bundle {
    if ($ssl_client_verify != SUCCESS) {
        return 403;
    }

    fastcgi_pass unix:/run/php/php8.1-fpm.sock;
    fastcgi_index index.php;
    fastcgi_param SCRIPT_FILENAME       $document_root$fastcgi_script_name;
    include fastcgi_params;
}

include fastcgi_params放在自定义fastcgi_param之后，会覆盖你自定义的参数。如果fastcgi_params文件里没有定义SSL_CLIENT_CERT，就算你之前加了该参数也会被忽略。

另外，要确保ssl_verify_client on这个全局配置没有被其他优先级更高的location规则覆盖。

正确的配置方案 #

1. 修正后的Nginx配置 #

server {
    listen 443 ssl;
    server_name mywebsite.nl;

    # 客户端证书验证核心配置
    ssl_client_certificate /etc/nginx/ssl/client_nl/certificate.crt;
    ssl_verify_client on;
    ssl_verify_depth 2; # 可选：指定证书链验证深度，避免链不完整导致验证失败

    location /client/Bundle {
        # 先校验证书有效性
        if ($ssl_client_verify != SUCCESS) {
            return 403;
        }

        # FastCGI配置：先自定义参数，再引入全局参数避免被覆盖
        fastcgi_pass unix:/var/run/php/php8.1-fpm.sock;
        fastcgi_index index.php;
        fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
        # 显式传递客户端原始证书给PHP
        fastcgi_param SSL_CLIENT_CERT $ssl_client_raw_cert;
        # 引入全局FastCGI参数，放在自定义参数之后
        include fastcgi_params;
    }
}

2. 优化后的PHP验证逻辑 #

可以同时校验Nginx返回的验证状态和证书内容，更严谨：

<?php
// 先检查Nginx返回的证书验证状态
if ($_SERVER['SSL_CLIENT_VERIFY'] !== 'SUCCESS') {
    http_response_code(403);
    exit('证书验证失败');
}

// 再检查证书内容是否存在
if (empty($_SERVER['SSL_CLIENT_CERT'])) {
    http_response_code(403);
    exit('未提供有效客户端证书');
}

// 执行后续业务逻辑
?>

额外排查要点 #

• 确认ssl_client_certificate指定的文件是CA证书或信任的客户端证书集合，如果是单个客户端证书，要确保其签发链被Nginx信任
• 用curl命令测试验证是否生效：

  curl --cert /path/to/client.crt --key /path/to/client.key https://mywebsite.nl/client/Bundle
  

• 查看Nginx错误日志（通常在/var/log/nginx/error.log），排查是否有证书文件读取失败、验证链错误等日志

内容的提问来源于stack exchange，提问作者user9897505