Nginx中通过Map正则处理MTLS客户端证书输出格式问题

一、获取“干净”的客户端证书文本 #

你的核心需求是处理Nginx提供的MTLS客户端证书变量，去除转义序列（如\x0A、\x09、%20等），得到标准的证书文本。以下是两种可行方案：

方案1：借助Lua模块（推荐，灵活高效） #

如果你的Nginx安装了ngx_http_lua_module模块，可以直接用Lua的字符串全局替换功能处理，一次性清除所有转义序列：

location / {
    set_by_lua_block $clean_cert {
        -- 从最干净的源变量$ssl_client_raw_cert读取证书
        local cert = ngx.var.ssl_client_raw_cert
        -- 替换所有转义换行符\x0A
        cert = string.gsub(cert, "\\x0A", "")
        -- 若需要清除制表符\x09，添加下面一行
        cert = string.gsub(cert, "\\x09", "")
        return cert
    }

    proxy_set_header X-SSL-CERT $clean_cert;
    # 其他location配置
}

如果需要生成标准的PEM格式（带实际换行，而非转义序列），只需把替换目标改为实际换行符"\n"：

cert = string.gsub(cert, "\\x0A", "\n")

方案2：原生Nginx配置（无第三方模块） #

Nginx原生正则不支持全局匹配，只能通过多次嵌套map或if指令逐步替换转义序列。以清除\x0A为例：

# 多次嵌套map，逐步替换所有\x0A
map $ssl_client_raw_cert $cert_step1 {
    ~^(.*)\\x0A(.*)$  $1$2;
}
map $cert_step1 $cert_step2 {
    ~^(.*)\\x0A(.*)$  $1$2;
}
map $cert_step2 $cert_step3 {
    ~^(.*)\\x0A(.*)$  $1$2;
}
# 继续添加更多map，直到覆盖证书中所有的换行转义

location / {
    proxy_set_header X-SSL-CERT $cert_step3;
    # 其他配置
}

注意：这种方法需要足够多的map来覆盖证书中的所有换行，性能和维护性不如Lua方案。

二、你的正则失效原因及Nginx正则参数说明 #

正则失效原因 #

你之前的map正则只匹配到第一个部分，是因为Nginx原生正则默认仅单次匹配，只会捕获字符串中第一个符合条件的子串，无法自动处理后续的\x0A和证书内容，所以第二个匹配项失效。

Nginx正则的Global与Multiline参数 #

1. Global（全局匹配）：
   Nginx原生正则不支持全局模式，无法一次性替换所有匹配项。必须通过多次嵌套处理或借助Lua等第三方模块实现全局替换。

2. Multiline（多行模式）：
   Nginx支持PCRE的多行模式，启用方式是在正则修饰符中添加m：

   • 区分大小写的多行正则：~m"正则表达式"
   • 不区分大小写的多行正则：~*m"正则表达式"
     启用后，正则中的^会匹配每行的开头（而非整个字符串开头），$会匹配每行的结尾（而非整个字符串结尾）。例如，匹配所有以数字开头的行：

   map $some_var $matched_lines {
       ~m"^\d+"  "匹配到行开头的数字";
   }
   

内容的提问来源于stack exchange，提问作者user22396947