IBM API Connect中Set-Variable失效：无法传递客户端证书至后端

针对你遇到的双向TLS客户端证书无法通过Client-Cert请求头传递到后端的问题，结合你的配置和API Connect的工作机制，给出以下排查和修复方案：

1. 确认网关已正确启用双向TLS验证 #

首先要确保你的API入口已开启客户端证书验证：

• 在API Connect的API配置中，进入安全设置，启用客户端证书认证，只有开启后，网关才会捕获到调用者的客户端证书，相关变量才会有值。如果未开启，application.certificate或request.clientCert变量为空，自然无法生成对应的请求头。

2. 修正客户端证书的变量引用路径 #

你当前使用的application.certificate.Base64不是DataPower API Gateway中获取客户端证书的正确变量路径：

• 对于DataPower API Gateway，客户端证书的正确变量是request.clientCert，要获取Base64编码的证书内容，需要使用编码函数：$(request.clientCert.encode('base64'))
• 同时你配置中多余的冒号:$(...)会导致头内容格式错误，需要移除。

3. 明确Set-Variable的目标作用域 #

确保Set-Variable是将请求头添加到转发给后端的请求中，明确指定target为message.headers（虽然默认是请求头，但显式指定更稳妥）。

修改后的Set-Variable策略示例 #

- set-variable:
    version: 2.0.0
    title: client-cert
    actions:
      - value: $(request.clientCert.encode('base64'))
        type: string
        add: Client-Cert
        target: message.headers
      - value: My-Value
        add: My-Header
        type: string
        target: message.headers

额外排查步骤 #

• 添加Log策略验证证书变量是否存在：在Set-Variable之前插入日志策略，打印证书内容，确认变量是否有值：

  - log:
      version: 2.0.0
      title: log-client-cert
      message: "获取到的客户端证书Base64: $(request.clientCert.encode('base64'))"
  

• 如果你使用的是传统DataPower网关（非API Gateway），变量路径需改为dp:variable('var://service/ssl/client-cert')，并同样进行Base64编码。

内容的提问来源于stack exchange，提问作者Takahiko Kawasaki