配置SSL客户端认证后，POST带请求体时Nginx未校验客户端证书求助

我来帮你定位这个问题，咱们从Nginx配置和JavaScript客户端两个方向逐一排查：

一、先确认Nginx是否在正确要求客户端证书 #

首先排除Nginx侧的问题，咱们可以做这几步测试：

1. 调整证书验证策略
   你当前配置的是ssl_verify_client optional，这意味着客户端可以选择是否传递证书。可以临时把它改成ssl_verify_client on，然后测试带请求体的POST请求：

   • 如果Nginx直接返回400 Bad Request（提示缺少客户端证书），说明Nginx确实在要求证书，问题出在客户端；
   • 如果请求依然能成功，但后端还是没拿到证书信息，那就要检查Nginx的SSL握手日志。

2. 查看Nginx错误日志
   打开你的Nginx error_log（你配置的是/proc/self/fd/2，即标准错误输出），搜索对应POST请求的日志条目，看是否有类似no client certificate presented的提示。如果有，说明客户端确实没传证书；如果没有，可能是Nginx的握手逻辑存在问题。

3. 补充证书链验证深度
   虽然GET请求正常，但可以尝试在server块添加ssl_verify_depth 2;，确保Nginx能正确验证客户端证书的完整链（默认值是1，如果你的客户端证书有中间CA，可能需要调整）。

二、排查JavaScript客户端的问题 #

如果Nginx确实在要求证书，那大概率是客户端的问题，尤其是跨域请求场景：

核心问题：跨域预检（OPTIONS请求） #

当你发送带请求体的POST跨域请求时，浏览器会先发送一个OPTIONS预检请求。默认情况下，浏览器在OPTIONS请求中不会携带客户端证书，而且如果服务器没有明确允许凭证传递，后续的POST请求也不会带证书。

解决步骤：

1. 客户端配置凭证传递

   • 如果用fetch，要设置credentials: 'include'：

     fetch('https://your-domain.com/api', {
       method: 'POST',
       body: yourRequestBody,
       credentials: 'include', // 关键配置
       headers: {
         'Content-Type': 'application/json'
       }
     });
     

   • 如果用XMLHttpRequest，要开启withCredentials：

     const xhr = new XMLHttpRequest();
     xhr.open('POST', 'https://your-domain.com/api');
     xhr.withCredentials = true; // 关键配置
     xhr.setRequestHeader('Content-Type', 'application/json');
     xhr.send(yourRequestBody);
     

2. Nginx配置跨域响应头
   需要在Nginx中添加OPTIONS请求的处理规则，允许凭证传递：

   location / {
       # 保留你原有的proxy_pass和header配置...
   
       # 处理跨域预检请求
       if ($request_method = OPTIONS) {
           # 替换成你的前端实际域名，不能用*
           add_header Access-Control-Allow-Origin "https://your-frontend-domain.com";
           add_header Access-Control-Allow-Methods "GET, POST, OPTIONS";
           # 根据你的请求头调整，比如包含Content-Type等
           add_header Access-Control-Allow-Headers "Content-Type, Authorization";
           # 必须设置为true，允许凭证传递
           add_header Access-Control-Allow-Credentials "true";
           return 204;
       }
   }
   

   注意：Access-Control-Allow-Origin不能设为*，必须指定具体的前端域名，否则浏览器会拒绝携带凭证。

三、其他可能的排查点 #

• 检查客户端证书是否正确安装在浏览器/客户端中，有没有过期或权限问题；
• 如果请求体很大（接近你配置的100M），可以尝试用小体积的请求体测试，排除Nginx的client_max_body_size或请求缓冲的影响；
• 确认你的JS客户端没有在POST请求中跳过证书（比如某些第三方库的默认配置）。

内容的提问来源于stack exchange，提问作者alk453