同一ServerName的Nginx服务如何配置不同ssl_verify_client验证规则

你猜的完全没错——Nginx不会同时运行两个监听相同端口、拥有相同server_name的server块，它只会加载并使用第一个匹配的配置，所以你的第二个server块根本没被启用，这就是配置失效的原因。

要实现你想要的效果，根本不需要拆分server块，因为ssl_verify_client指令支持在location级别进行配置。下面是正确的配置方案：

server {
    listen 443 ssl;
    server_name exam.com;

    # 全局SSL基础配置（双向验证必须项）
    ssl_certificate /path/to/your/server-cert.pem;
    ssl_certificate_key /path/to/your/server-key.pem;
    ssl_client_certificate /path/to/your/ca-cert.pem; # 用于验证客户端证书的CA根证书
    ssl_verify_depth 2; # 根据你的证书链层级调整，一般设为2足够

    # 默认关闭客户端证书验证，确保未匹配的路径不受影响
    ssl_verify_client off;

    # 对/a路径强制要求客户端证书验证
    location /a {
        ssl_verify_client on;
        # 这里添加/a路径的业务配置，比如root、proxy_pass等
        # root /path/to/a-content;
        # proxy_pass http://backend-a;
    }

    # 对/b路径启用可选客户端证书验证
    location /b {
        ssl_verify_client optional;
        # /b路径的业务配置
        # root /path/to/b-content;
    }

    # 对/c路径启用可选客户端证书验证
    location /c {
        ssl_verify_client optional;
        # /c路径的业务配置
        # proxy_pass http://backend-c;
    }

    # 其他路径的默认处理（可选）
    location / {
        return 404;
    }
}

关键注意事项： #

• 全局配置必须到位：ssl_client_certificate和ssl_verify_depth只能在http或server级别配置，不能在location里设置，这是双向验证的基础，必须提前配置好。
• location级别的覆盖：location里的ssl_verify_client会覆盖server级别的默认值，所以我们在server级设为off，再在需要的location里单独设置on或optional。
• 验证配置有效性：修改配置后，一定要用nginx -t命令检查语法是否正确，确认无误后再用systemctl reload nginx（或对应重启命令）使配置生效。

这样配置后，访问/a时会强制要求客户端提供有效证书，访问/b和/c时客户端可选择提供证书（提供的话会验证有效性，不提供也能正常访问），完全符合你的需求。

内容的提问来源于stack exchange，提问作者Tim Choi