如何在SAP BTP的Node.js应用中用@sap-cloud-sdk实现mTLS客户端证书验证

SAP Cloud SDK本身并不提供mTLS验证的开箱即用功能，但可以结合Node.js原生能力、SAP BTP基础设施以及你现有的XSUAA/App Router架构来实现需求，具体方案如下：

1. 调整App Router配置以转发客户端证书 #

因为你当前使用App Router做身份代理，默认它不会传递客户端证书到后端应用，需要修改xs-app.json，为webhook路由单独配置证书转发并跳过XSUAA认证：

{
  "routes": [
    {
      "source": "^/webhook/(.*)",
      "target": "/webhook/$1",
      "destination": "your-backend-destination",
      "authenticationType": "none",
      "options": {
        "xforwarded": {
          "cert": true
        }
      }
    },
    // 保留其他需要XSUAA认证的路由配置
    {
      "source": "^/(.*)",
      "target": "/$1",
      "destination": "your-backend-destination",
      "authenticationType": "xsuaa"
    }
  ]
}

此配置会让App Router把客户端证书通过x-forwarded-client-cert请求头传递给后端，同时不对webhook端点做XSUAA拦截。

2. 在Node.js后端实现证书验证逻辑 #

在你的Express应用中，针对webhook端点添加自定义中间件，提取并验证证书，之后可以正常结合SAP Cloud SDK处理业务逻辑：

const express = require('express');
const crypto = require('crypto');
const fs = require('fs');
const app = express();

// 自定义证书验证函数
function validateClientCertificate(certPem) {
  // 加载SAP Event Broker的信任CA证书（可从BTP凭证存储或本地文件读取）
  const trustedCaPem = fs.readFileSync('./event-broker-trust-ca.crt', 'utf8');
  const clientCert = crypto.X509Certificate.fromPEM(certPem);

  // 检查证书有效期
  const currentDate = new Date();
  if (clientCert.validFrom > currentDate || clientCert.validTo < currentDate) {
    return false;
  }

  // 验证证书是否由信任CA签发
  const verifier = crypto.createVerify('SHA256');
  verifier.write(clientCert.raw);
  verifier.end();
  return verifier.verify(trustedCaPem, clientCert.signature);
}

// mTLS验证中间件，仅作用于webhook路径
app.use('/webhook', (req, res, next) => {
  const clientCert = req.headers['x-forwarded-client-cert'];
  if (!clientCert) {
    return res.status(403).send('Client certificate is required');
  }

  if (!validateClientCertificate(clientCert)) {
    return res.status(403).send('Invalid or untrusted client certificate');
  }

  next();
});

// 结合SAP Cloud SDK处理webhook事件
app.post('/webhook/event', (req, res) => {
  // 这里可以调用SAP Cloud SDK的API处理业务逻辑
  // 例如：调用S/4HANA服务、操作BTP资源等
  res.status(200).send('Event processed successfully');
});

app.listen(process.env.PORT || 3000);

3. BTP基础设施层面的必要配置 #

• 确保Cloud Foundry路由已启用客户端证书传递：通过cf set-route-service <route> <service-instance> --enable-client-cert命令开启
• 将SAP Event Broker的CA证书添加到应用的信任列表，或直接在代码中加载验证（如上例）

4. 与现有XSUAA架构的兼容 #

• 仅对webhook路由跳过XSUAA认证，其他业务路由依然保持原有XSUAA验证逻辑
• 确保App Router的路由优先级正确，webhook路由优先匹配

内容的提问来源于stack exchange，提问作者Vaibhav Fulara