关于用NJS模块从eIDAS证书提取QCStatement的技术问询

NJS能否实现该功能？ #

完全可以。NJS的crypto模块支持解析X.509证书，而QCStatement作为X.509证书的标准扩展（OID：1.3.6.1.5.5.7.1.3），可以通过以下步骤实现提取：

1. 在Nginx配置中，将$ssl_client_raw_cert作为参数传递给NJS脚本；
2. 在NJS脚本里，使用crypto.parseCert()解析原始证书数据；
3. 遍历证书的扩展字段，匹配QCStatement对应的OID；
4. 解析该扩展的ASN.1编码内容，提取出所需的QCStatement信息；
5. 将结果返回给Nginx，再传递给请求响应。

举个极简示例：

NJS脚本（cert-processor.js） #

function extractQCStatement(r) {
    const rawCert = r.variables.ssl_client_raw_cert;
    if (!rawCert) {
        r.return(400, "No client certificate provided");
        return;
    }
    try {
        const cert = crypto.parseCert(Buffer.from(rawCert, 'base64'));
        const qcOid = '1.3.6.1.5.5.7.1.3';
        const qcExt = cert.extensions.find(ext => ext.oid === qcOid);
        if (qcExt) {
            // 这里根据ASN.1结构解析qcExt.value，具体逻辑需适配eIDAS的格式
            r.return(200, JSON.stringify(qcExt.value.toString('base64')));
        } else {
            r.return(404, "QCStatement not found in certificate");
        }
    } catch (e) {
        r.return(500, `Error processing certificate: ${e.message}`);
    }
}

export default { extractQCStatement };

Nginx配置片段 #

load_module modules/ngx_http_js_module.so;

http {
    js_import cert-processor.js;

    server {
        listen 443 ssl;
        ssl_certificate server.crt;
        ssl_certificate_key server.key;
        ssl_verify_client on;

        location /extract-qc {
            js_content cert-processor.extractQCStatement;
        }
    }
}

注意：实际解析QCStatement的ASN.1内容时，可能需要额外处理DER编码的结构，NJS的asn1模块（需确保NJS版本支持）可以辅助完成这部分工作。

其他可行方案 #

• OpenResty + Lua：借助OpenResty的lua-nginx-module和luaossl库，Lua对X.509证书的解析支持更成熟，社区有更多现成的处理ASN.1和QCStatement的代码示例，性能也接近NJS；
• 调用OpenSSL命令行：通过Nginx的exec指令或脚本调用openssl x509命令解析证书，比如openssl x509 -in /dev/stdin -text -noout | grep -A 10 "QC Statement"，但这种方式性能较低，不适合高并发场景；
• 自定义Nginx C模块：如果对性能要求极高，可以编写C语言模块直接调用OpenSSL库解析证书和QCStatement，但开发维护成本远高于脚本方案。

内容的提问来源于stack exchange，提问作者Charandeep Singh