如何配置Nginx或Apache要求但不完全验证客户端证书？

Nginx 配置方案 #

要实现强制客户端提供证书，但不验证证书的有效性（如CA签名、过期等，仅检查证书格式合法），可以这样配置：

server {
    listen 443 ssl;
    server_name your-domain.com;

    ssl_certificate /path/to/server.crt;
    ssl_certificate_key /path/to/server.key;

    # 强制客户端提供证书
    ssl_verify_client on;
    # 不指定CA证书文件，避免验证证书签名有效性
    # 若之前配置过CA文件，可注释掉以下行
    # ssl_certificate_authority /path/to/ca.crt;

    # 可选：获取客户端原始证书，用于后续自定义验证逻辑
    # set $client_cert $ssl_client_raw_cert;

    location / {
        root /usr/share/nginx/html;
        index index.html;
    }
}

说明：

• ssl_verify_client on 强制客户端必须发送证书，否则直接拒绝连接
• 不配置ssl_certificate_authority（或注释已有配置），Nginx仅检查证书格式合规，不会验证证书是否由信任CA签发
• 若需要在应用层自定义验证逻辑，可通过$ssl_client_raw_cert变量获取原始证书内容

Apache 配置方案 #

Apache 可以通过以下配置实现需求：

<VirtualHost *:443>
    ServerName your-domain.com

    SSLEngine on
    SSLCertificateFile /path/to/server.crt
    SSLCertificateKeyFile /path/to/server.key

    # 强制客户端提供证书
    SSLVerifyClient require
    # 设置验证深度为0，不验证证书信任链
    SSLVerifyDepth 0
    # 不配置CA证书文件，跳过签名有效性验证
    # SSLCACertificateFile /path/to/ca.crt;

    # 可选：将客户端证书信息传递给后端应用
    # RequestHeader set X-Client-Cert "%{SSL_CLIENT_CERT}s"

    DocumentRoot /var/www/html
</VirtualHost>

说明：

• SSLVerifyClient require 强制客户端必须提交证书，否则返回403错误
• SSLVerifyDepth 0 告知Apache不验证证书的信任链层级
• 不配置SSLCACertificateFile，Apache仅校验证书格式合法，不会验证证书的CA签名有效性
• 若需要将证书传递给应用层做自定义校验，可通过RequestHeader设置请求头传递证书内容

内容的提问来源于stack exchange，提问作者jjx